Auftragsverarbeitungsvertrag (AVV)

Gemäß Art. 28 der Datenschutz-Grundverordnung (DSGVO). Gültig ab: 1. März 2026.

Dieser Auftragsverarbeitungsvertrag ('AVV') wird zwischen NextGate Digital UG (haftungsbeschränkt) (handelnd als PassportLab), Im Winkel 8, 50189 Elsdorf, Deutschland, eingetragen beim Amtsgericht Köln, HRB 128572 ('Auftragsverarbeiter') und dem Kunden, der die PassportLab-Nutzungsbedingungen akzeptiert hat ('Verantwortlicher'), geschlossen. Dieser AVV ergänzt die Nutzungsbedingungen und ist Bestandteil davon.

1. Gegenstand, Art und Dauer

Der Auftragsverarbeiter erbringt Leistungen zur Erstellung, Veröffentlichung und Pflege digitaler Produktpässe im Auftrag des Verantwortlichen. Die Verarbeitung erfolgt für die Vertragsdauer und nach deren Ende nur, soweit zwischen den Parteien vereinbart oder gesetzlich vorgeschrieben (Abschnitt 4(f)). Der Auftragsverarbeiter handelt ausschließlich auf dokumentierte Weisung des Verantwortlichen.

2. Datenkategorien und betroffene Personen

Der Auftragsverarbeiter kann im Auftrag des Verantwortlichen folgende Kategorien personenbezogener Daten verarbeiten: (a) Kontodaten – Namen, E-Mail-Adressen und Unternehmensdaten der autorisierten Nutzer des Verantwortlichen; (b) Produktpassdaten – Lieferantennamen, Herstelleradressen und sonstige personenbezogene Daten, die der Verantwortliche in Passfelder eingibt; (c) Nutzungs- und Auditdaten – IP-Adressen, Sitzungskennungen und Zugriffszeitstempel im Audit-Protokoll. Betroffene Personen sind Mitarbeiter, Administratoren des Verantwortlichen sowie natürliche Personen, deren Daten in Produktpassfeldern erscheinen.

3. Pflichten des Verantwortlichen

Der Verantwortliche sichert zu: (a) für alle an die Plattform übermittelten personenbezogenen Daten eine gültige Rechtsgrundlage zu haben; (b) alle erforderlichen Hinweise an betroffene Personen gegeben zu haben; (c) keine besonderen Datenkategorien (Art. 9 DSGVO) ohne vorherige schriftliche Vereinbarung zu übermitteln.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich: (a) personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, auch bei Übermittlungen in Drittländer; (b) den Verantwortlichen unverzüglich zu informieren, wenn eine Weisung seiner Ansicht nach gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt (Art. 28 Abs. 3 DSGVO); (c) sicherzustellen, dass befugtes Personal angemessenen Vertraulichkeitspflichten unterliegt; (d) die in Abschnitt 6 beschriebenen technischen und organisatorischen Maßnahmen umzusetzen und aufrechtzuerhalten; (e) den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 12–22 DSGVO) und seinen Pflichten nach Art. 32–36 DSGVO zu unterstützen (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation); (f) nach Abschluss der Leistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben, sofern nicht Unions- oder mitgliedstaatliches Recht eine weitere Speicherung verlangt; (g) alle Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO bereitzustellen.

5. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung, folgende Unterauftragsverarbeiter einzusetzen: (a) STRATO (Deutschland) — Server-Hosting von Anwendung und Datenbank; (b) Hetzner Online GmbH (Deutschland) — Objektspeicher für Backups und Produktbilder, sofern aktiviert; (c) Stripe Payments Europe Ltd. (Dublin, Irland) — Zahlungsabwicklung; (d) Matomo-Analyseserver (Deutschland) — Website-Nutzungsstatistiken, nur mit Einwilligung des Nutzers; (e) Anthropic (USA) — KI-gestützte Extraktion von Produktdaten aus Dokumenten, die der Verantwortliche dieser Funktion übermittelt, mit Übermittlungen unter geeigneten Garantien (Art. 46 DSGVO). Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus über beabsichtigte Änderungen bei Unterauftragsverarbeitern. Der Verantwortliche kann einem neuen Unterauftragsverarbeiter innerhalb von 14 Tagen widersprechen; wird keine Lösung gefunden, kann der Verantwortliche die betroffenen Leistungen kündigen. Alle Unterauftragsverarbeiter sind an Datenschutzpflichten gebunden, die den Pflichten dieses AVV mindestens gleichwertig sind.

6. Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter setzt folgende Maßnahmen um und hält sie aufrecht: (a) Verschlüsselung — Zugangsdaten, Signierschlüssel und andere Geheimnisse werden verschlüsselt gespeichert (Fernet: AES-128-CBC mit HMAC-SHA256); (b) Transportverschlüsselung — TLS 1.2+ für sämtlichen API- und Web-Verkehr erzwungen; HSTS-Header gesetzt; (c) Zugriffskontrollen — rollenbasierter Zugriff; Multi-Faktor-Authentifizierung (TOTP) verfügbar; API-Schlüssel nur als SHA-256-Hashes gespeichert; (d) Audit-Protokollierung — hash-verkettetes Audit-Log für alle Passdatenänderungen, durch Datenbank-Trigger gegen Veränderung geschützt; (e) Datenminimierung — rollenbasierte Feldfilterung; SD-JWT-selektive Offenlegung für die Weitergabe von Credentials an Dritte; (f) Standort — Anwendung, Datenbank und Backups werden in Deutschland gehostet (STRATO; Hetzner-Objektspeicher, sofern aktiviert). Ausnahme: Dokumente, die der Verantwortliche der KI-gestützten Extraktion übermittelt, verarbeitet Anthropic in den USA (Abschnitt 5(e)); (g) Incident Response — dokumentiertes Verfahren zur Meldung von Verletzungen; Überwachung der API-Verfügbarkeit.

7. Betroffenenrechte

Nach Erhalt einer vom Verantwortlichen weitergeleiteten, verifizierten Betroffenenanfrage unterstützt der Auftragsverarbeiter, indem er die relevanten Daten innerhalb von 5 Werktagen in strukturiertem, maschinenlesbarem Format (JSON/CSV) bereitstellt. Löschanfragen setzt der Auftragsverarbeiter innerhalb von 30 Tagen um, vorbehaltlich der Aufbewahrungspflichten aus den einschlägigen Produktvorschriften und dem deutschen Handels- und Steuerrecht. Datenübertragbarkeit ist jederzeit über den Endpunkt /org/export möglich.

8. Meldung von Datenpannen

Im Falle einer Datenpanne, die unter diesen AVV fallende Daten betrifft, benachrichtigt der Auftragsverarbeiter den Verantwortlichen unverzüglich und spätestens 72 Stunden nach Bekanntwerden der Panne. Die Meldung enthält: (a) die Art der Panne; (b) die Kategorien und die ungefähre Anzahl betroffener Personen und Datensätze; (c) die voraussichtlichen Folgen der Panne; (d) die ergriffenen oder geplanten Maßnahmen zur Behebung. Der Verantwortliche bleibt für die Meldung an die zuständige Aufsichtsbehörde (Landesbeauftragte für Datenschutz, NRW) und betroffene Personen verantwortlich, soweit erforderlich.

9. Audits und Inspektionen

Der Verantwortliche kann die Datenverarbeitungsaktivitäten des Auftragsverarbeiters im Rahmen dieses AVV höchstens einmal pro Kalenderjahr mit mindestens 14 Tagen schriftlicher Vorankündigung prüfen. Audits werden während der regulären Geschäftszeiten auf Kosten des Verantwortlichen durchgeführt und dürfen den Betrieb nicht unverhältnismäßig beeinträchtigen. Der Auftragsverarbeiter kann Auditanfragen durch Vorlage aktueller Drittprüfberichte oder Zertifizierungen (z.B. ISO 27001) erfüllen, soweit verfügbar.

10. Anwendbares Recht

Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Alle Streitigkeiten aus diesem AVV unterliegen der ausschließlichen Zuständigkeit der Gerichte in Köln, Deutschland. Bei Widersprüchen zwischen diesem AVV und den von der Europäischen Kommission herausgegebenen Standardvertragsklauseln (SCC) gehen die SCC hinsichtlich grenzüberschreitender Datenübermittlungen vor.