Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") wird zwischen
Philipp Wichert, Inhaber von Doku-Flux (nachfolgend „Auftragsverarbeiter")
und dem Unternehmen, das ein Doku-Flux-Konto erstellt (nachfolgend „Verantwortlicher"), geschlossen.
Durch die Annahme dieses AVV bei der Kontoerstellung bestätigt der Verantwortliche, dass er zur Unterzeichnung dieser Vereinbarung im Namen seines Unternehmens bevollmächtigt ist.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur automatisierten Extraktion strukturierter Datenfelder aus hochgeladenen Dokumenten (Rechnungen, Frachtbriefe, Lieferscheine u. ä.) sowie zur Speicherung und Wiederverwendung feldbezogener Kundeneinstellungen innerhalb des jeweiligen Kontos oder Workspaces (z. B. Feldnamen, Feldtypen, Kategorien, Beschreibungen, Aliase, Dokumenttypen und Exportvoreinstellungen). Die Verarbeitung erfolgt ausschließlich auf Weisung des Verantwortlichen und für die Dauer der Nutzung des Dienstes.
Der Verantwortliche weist den Auftragsverarbeiter außerdem an, Feld-Metadaten in anonymisierter oder aggregierter Form zur Pflege und Verbesserung der allgemeinen Doku-Flux-Feld- und Wissensbasis zu verwenden, soweit daraus keine Identifizierung des Verantwortlichen, einzelner Nutzer oder betroffener Personen möglich ist. Hochgeladene Dokumente, Dokumentabbildungen und extrahierte Feldwerte sind hiervon ausgeschlossen.
Verarbeitet werden die in den hochgeladenen Dokumenten enthaltenen personenbezogenen Daten, insbesondere:
Betroffene Personen können Kunden, Lieferanten und Mitarbeiter des Verantwortlichen sein.
Zusätzlich können feldbezogene Konfigurationsdaten verarbeitet werden, insbesondere vom Verantwortlichen oder seinen Nutzern angelegte Feldnamen, Feldbeschreibungen, Kategorien, Datentypen, Aliase, Dokumenttypen und Export- oder Anzeigeeinstellungen. Der Verantwortliche ist angehalten, in Feldnamen und Feldbeschreibungen keine personenbezogenen Daten oder Geschäftsgeheimnisse einzugeben, soweit dies für die Extraktion nicht erforderlich ist.
Der Auftragsverarbeiter setzt folgende genehmigte Unterauftragsverarbeiter ein:
Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf dieselben Datenschutzpflichten, denen er selbst nach diesem AVV unterliegt. Kommt ein Unterauftragsverarbeiter diesen Pflichten nicht nach, haftet der Auftragsverarbeiter dem Verantwortlichen gegenüber in vollem Umfang für deren Einhaltung.
Hetzner und AIME verarbeiten Daten ausschließlich in Deutschland; eine Drittstaatenübermittlung findet insoweit nicht statt. Postmark / AC PM LLC verarbeitet Daten in den USA. Die Übermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-U.S. Data Privacy Framework, für das Postmark / AC PM LLC zertifiziert ist, sowie ergänzend auf Grundlage der EU-Standardvertragsklauseln gemäß Postmarks Data Processing Addendum. Verliert diese Zertifizierung ihre Gültigkeit, stützt sich die Übermittlung auf die EU-Standardvertragsklauseln; der Auftragsverarbeiter trifft in diesem Fall bei Bedarf zusätzliche technische und organisatorische Maßnahmen, um ein angemessenes Schutzniveau sicherzustellen.
Für die KI-gestützte Dokumentenextraktion werden ausschließlich selbst betriebene KI-Modelle auf von AIME bereitgestellter GPU-Infrastruktur in Deutschland eingesetzt. Es werden keine externen KI-APIs oder Dritte-KI-Anbieter (z. B. OpenAI, Google, Microsoft, Anthropic) als Unterauftragsverarbeiter eingesetzt.
Änderungen am Unterauftragsverarbeiter werden dem Verantwortlichen mindestens 30 Tage im Voraus mitgeteilt. Der Verantwortliche kann Änderungen innerhalb dieser Frist schriftlich widersprechen.
Hochgeladene Dokumente und Extraktionsergebnisse werden automatisch nach 30 Tagen gelöscht. Die Frist kann vom Verantwortlichen jederzeit selbst über die Kontoeinstellungen im Bereich „Datenaufbewahrung" auf einen Wert zwischen 7 und 365 Tagen angepasst werden. Die Änderung gilt für neue Extraktionen, nicht rückwirkend für bereits gespeicherte. Einzelne Extraktionen können jederzeit im Dashboard sofort gelöscht werden, unabhängig von der eingestellten Frist. Auf Anfrage des Verantwortlichen erfolgt ebenso eine sofortige Löschung der betroffenen gespeicherten Dokument- und Extraktionsdaten.
Feldbezogene Kundeneinstellungen werden gespeichert, solange sie für Konto, Workspace, Vorlagen oder laufende Vertragsbeziehungen benötigt werden. Der Verantwortliche kann ihre Löschung oder Anpassung jederzeit über die Anwendung oder per E-Mail verlangen. Anonymisierte oder aggregierte Feld-Metadaten, die keine Rückschlüsse auf den Verantwortlichen, Nutzer oder betroffene Personen zulassen, können dauerhaft zur Verbesserung der allgemeinen Feld- und Wissensbasis verwendet werden.
Bei Beendigung der Nutzung des Dienstes (Kontokündigung) löscht der Auftragsverarbeiter sämtliche gespeicherten Dokumente, Extraktionsergebnisse und feldbezogenen Kundeneinstellungen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht; in diesem Fall werden die betroffenen Daten bis zum Ablauf der Aufbewahrungsfrist gesperrt und anschließend gelöscht. Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage.
Der Auftragsverarbeiter verarbeitet Daten ausschließlich auf Weisung des Verantwortlichen. Weisungen erfolgen durch die Nutzung des Dienstes (Hochladen von Dokumenten, Konfiguration und Speicherung von Feldern, Vorlagen und Exporten). Außerordentliche Weisungen (z. B. vorzeitige Löschung oder Ausschluss bestimmter Feld-Metadaten von der anonymisierten Wissensbasis-Verbesserung) können per E-Mail an kontakt@doku-flux.de erteilt werden.
Hält der Auftragsverarbeiter eine Weisung für einen Verstoß gegen die DSGVO oder andere Datenschutzbestimmungen, informiert er den Verantwortlichen unverzüglich und kann die Umsetzung der betreffenden Weisung aussetzen, bis sie vom Verantwortlichen bestätigt oder geändert wurde.
Die Haftung richtet sich nach den gesetzlichen Regelungen der DSGVO. Jede Partei haftet für Verstöße, die in ihrem Verantwortungsbereich liegen. Eine weitergehende Haftung des Auftragsverarbeiters für Schäden, die auf unsachgemäßer Nutzung durch den Verantwortlichen beruhen, ist ausgeschlossen.
Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten des Verantwortlichen bekannt, unterrichtet er den Verantwortlichen unverzüglich und so, dass dieser seinen Pflichten nach Art. 33 und 34 DSGVO fristgerecht nachkommen kann.
Die Meldung enthält, soweit zum jeweiligen Zeitpunkt möglich, mindestens:
Können nicht alle Angaben gleichzeitig bereitgestellt werden, erfolgt die Meldung schrittweise ohne unangemessene weitere Verzögerung.
Werden personenbezogene Daten des Verantwortlichen beim Auftragsverarbeiter durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder vergleichbare Maßnahmen Dritter gefährdet, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich und weist Dritte darauf hin, dass die Hoheit über die Daten ausschließlich beim Verantwortlichen liegt.
Änderungen dieses AVV werden durch Veröffentlichung einer neuen Version auf dieser Seite bekannt gegeben; maßgeblich ist die zum jeweiligen Verarbeitungszeitpunkt aktuelle Version.
Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Fragen zu diesem AVV: kontakt@doku-flux.de