Dieser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO regelt die Verarbeitung personenbezogener Daten, die der Kunde („Verantwortlicher") durch Nutzung des Dienstes „Dok24 Dokumentenmanager" an die NEBO eG („Auftragsverarbeiter") übergibt. Er wird mit Vertragsschluss Bestandteil des Nutzungsvertrags.
1. Gegenstand und Dauer
Gegenstand ist die Verarbeitung der vom Verantwortlichen hochgeladenen Dokumente und der daraus gewonnenen Metadaten zum Zweck der automatischen Ablage und Verarbeitung. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.
2. Art der Daten und Kategorien betroffener Personen
- Datenarten: Inhalte von Belegen/Dokumenten (z. B. Rechnungen, Bescheide, Verträge, Schreiben) sowie daraus ausgelesene Metadaten (Absender, Datum, Dokumenttyp, Dateiname, Firma).
- Betroffene Personen: je nach Dokumentinhalt z. B. Geschäftspartner, Kunden, Mitarbeitende, Behördenkontakte des Verantwortlichen.
3. Weisungsbindung
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen und nicht für eigene Zwecke. Als Weisung gilt insbesondere die Nutzung der Funktionen des Dienstes.
4. Vertraulichkeit
Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).
5. Technische und organisatorische Maßnahmen (Art. 32)
- Verschlüsselte Übertragung (TLS) und verschlüsselter Dateispeicher.
- Mandantentrennung auf Datenbankebene (Row-Level Security) – strikte Trennung der Daten je Kunde.
- Zugriff auf Dateien nur über zeitlich begrenzte, signierte Links; getrennte Schlüssel-/Rechteverwaltung.
- EU-Datenhaltung für Datenbank und Dateispeicher; getrennte Server.
- Export- und Löschfunktionen für den Verantwortlichen.
6. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu. Über Änderungen wird der Verantwortliche vorab informiert und kann widersprechen. Bei Drittlandtransfers werden geeignete Garantien (insb. EU-Standardvertragsklauseln) eingesetzt:
- Hostinger International Ltd. – Server-Hosting (Anwendung + Automatisierung/n8n) und E-Mail-Eingang. Ort: EU (Rechenzentrum Deutschland). Grundlage: AVV nach Art. 28 DSGVO.
- Supabase, Inc. – Datenbank und Anmeldung/Authentifizierung (nur Metadaten, keine Dateien). Ort: EU – Irland (Region eu-west-1). Grundlage: AVV/DPA nach Art. 28 DSGVO, ggf. EU-Standardvertragsklauseln.
- Cloudflare, Inc. (Cloudflare R2) – Verschlüsselter Dateispeicher für die hochgeladenen Original-Dokumente. Ort: EU-Jurisdiktion (R2-EU-Konfiguration). Grundlage: DPA nach Art. 28 DSGVO + EU-Standardvertragsklauseln.
- Anthropic PBC – KI-gestütztes Auslesen und Klassifizieren der Belege (Texterkennung, Absender/Datum/Typ, Firmenzuordnung). Ort: USA. Grundlage: DPA nach Art. 28 DSGVO + EU-Standardvertragsklauseln; die kommerzielle API-Nutzung wird laut Anbieter nicht zum Training von Modellen verwendet.
- Stripe Payments Europe, Ltd. – Zahlungsabwicklung (Abonnement, Einrichtungsgebühr, Zusatzmodule wie die Steuererklärung). Ort: EU – Irland (Konzernmutter in den USA). Grundlage: DPA nach Art. 28 DSGVO + EU-Standardvertragsklauseln.
- NOWPayments (NOW Payments Inc.) – Krypto-Zahlungsabwicklung (USDC/USDT u. a.) – alternativer Zahlweg. Ort: außerhalb der EU. Grundlage: DPA nach Art. 28 DSGVO + geeignete Garantien (EU-SCC); nur bei Wahl der Krypto-Zahlung. Übermittelt werden Zahlungs-/Transaktionsdaten, keine Beleginhalte..
- Telegram FZ-LLC (optional, nur bei aktiver Nutzung) – OPTIONALER Eingangskanal: Übermittlung von Belegen per Telegram-Bot (nur bei aktiver Nutzung durch den Kunden). Ort: außerhalb der EU. Grundlage: Nutzung nur auf ausdrückliche Veranlassung des Kunden; es steht kein Auftragsverarbeitungsvertrag zur Verfügung. E-Mail und direkter Upload sind die empfohlenen, EU-seitig abgesicherten Wege..
7. Übergabe eines Vorgangs an RechtKlar24
In der Aufgabenliste kann der Verantwortliche zu einem einzelnen Vorgang den Dienst RechtKlar24 (rechtklar24.de) hinzuziehen. Betreiberin beider Dienste ist dieselbe Stelle, die Rollen unterscheiden sich jedoch: Für diesen Vertrag ist sie Auftragsverarbeiterin. Bei RechtKlar24 wird sie auf Grundlage eines eigenen Vertrags mit dem Anfragenden tätig und ist dort selbst Verantwortliche.
Diese Übergabe ist deshalb keine Unterauftragsverarbeitung, sondern eine Übermittlung an einen eigenen Verantwortlichen. Sie findet ausschließlich statt, wenn der Verantwortliche sie selbst auslöst, und gilt für genau einen Vorgang.
- Die Übergabe beginnt erst mit dem Klick auf die Schaltfläche „RechtKlar24" in der Aufgabenliste. Ohne diesen Klick werden keine Daten übermittelt.
- Übergeben werden: Name und E-Mail-Adresse des Kontoinhabers, das zugeordnete Thema, eine aus dem Vorgang erzeugte Fallbeschreibung, eine etwaige Frist sowie das dem Vorgang zugeordnete Dokument.
- Der Abruf läuft über einen Zufallsschlüssel, der zwei Stunden gültig und nach dem Absenden des dortigen Formulars verbraucht ist. Ein dauerhafter Lesezugriff auf die Ablage besteht nicht.
- Solange das Formular bei RechtKlar24 nicht abgesendet wird, entsteht dort keine Anfrage. Das Dokument wird erst mit dem Absenden übertragen.
- Ein anschließend freigegebenes oder versendetes Schreiben wird als Dokument in die Ablage zurückgelegt.
Der Verantwortliche stellt sicher, dass er zur Übermittlung der im Vorgang enthaltenen Daten befugt ist. Das gilt besonders, wenn das Dokument Daten Dritter enthält, etwa von Beschäftigten oder Geschäftspartnern.
8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen angemessen bei Betroffenenrechten (Art. 15–22), bei der Sicherheit der Verarbeitung sowie bei Meldepflichten (Art. 33/34). Datenschutzverletzungen werden dem Verantwortlichen unverzüglich gemeldet.
9. Rückgabe und Löschung
Nach Beendigung des Vertrags werden die Daten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Verantwortliche kann Daten jederzeit selbst exportieren und löschen.
10. Kontrollrechte
Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen bereit und ermöglicht angemessene Überprüfungen (Art. 28 Abs. 3 lit. h).
Siehe auch Datenschutzerklärung und AGB.