Vertrag zur Auftragsverarbeitung (AVV)

(2) Dauer: Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrages. Er endet automatisch mit Beendigung des Hauptvertrages.

(1) Der Verantwortliche ist für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 DSGVO allein verantwortlich.

(2) Der Verantwortliche ist "Herr der Daten". Ihm stehen alle Rechte an den von ihm eingebrachten Daten zu. Er ist berechtigt, jederzeit Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(1) Weisungsgebundenheit: Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisung des Verantwortlichen, sofern er nicht durch Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist.

(2) Verarbeitungsgebiet: Die Verarbeitung personenbezogener Daten des Verantwortlichen findet grundsätzlich innerhalb der Europäischen Union (EU) oder des Europäischen Wirtschaftsraums (EWR) statt. Folgende EU-Regionen sind konfiguriert: Vercel — Frankfurt (fra1); Supabase — Frankfurt; AWS S3/SQS — Frankfurt (eu-central-1); AWS S3 Archiv und SES — Stockholm (eu-north-1); Upstash Redis und Upstash QStash/Workflow — AWS Frankfurt; Azure OpenAI (Embeddings/Whisper) — Sweden Central; Azure TTS — West Europe (Amsterdam); Google Vertex AI, Document AI, Cloud Run — europe-west3 (Frankfurt), Claude-Endpoint Belgien; Deepgram — EU-Endpoint; Sentry — Deutschland; Unipile — Frankreich (Scaleway). Microsoft EU Data Boundary ist aktiviert. Eine Übermittlung in Drittländer erfolgt nur in folgenden Ausnahmen: Vercel Speed Insights (aggregierte Metriken). Alle Drittlandstransfers sind unter den Voraussetzungen der Art. 44 ff. DSGVO auf Basis von EU-Standardvertragsklauseln (SCC) und – soweit zutreffend – der Zertifizierung nach dem EU-U.S. Data Privacy Framework (DPF) abgesichert.

(3) Vertraulichkeit: Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen (Mitarbeiter) zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(4) Sicherheit der Verarbeitung (TOMs): Der Auftragsverarbeiter ergreift gemäß Art. 32 DSGVO alle erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die aktuellen Maßnahmen sind in Anlage 1 (siehe unten) beschrieben.

(1) Der Verantwortliche genehmigt dem Auftragsverarbeiter die Inanspruchnahme der in Anlage 2 aufgeführten Unterauftragsverarbeiter zur Erbringung des Hauptvertrages.

(2) Der Auftragsverarbeiter ist berechtigt, weitere oder andere Unterauftragsverarbeiter hinzuzuziehen, sofern er den Verantwortlichen hierüber vorab (z.B. per E-Mail oder im Admin-Dashboard) informiert und ihm die Möglichkeit gibt, binnen einer Frist von 14 Tagen zu widersprechen.

(3) Eine detaillierte und tagesaktuelle Liste ist jederzeit einsehbar unter:
https://nexdeck.de/unterauftragsverarbeiter

(4) Der Auftragnehmer stellt vertraglich sicher, dass für alle Unterauftragnehmer dasselbe Datenschutzniveau gilt wie in diesem Vertrag vereinbart (EU-Standardvertragsklauseln oder Angemessenheitsbeschluss).

(5) Der Auftragsverarbeiter ist verpflichtet, mit den Unterauftragsverarbeitern Verträge zu schließen, die den Anforderungen des Art. 28 DSGVO entsprechen und ihnen mindestens die gleichen Pflichten auferlegen, die der Auftragsverarbeiter gegenüber dem Verantwortlichen hat.

(1) Der Verantwortliche hat das Recht, die Einhaltung der Pflichten aus diesem Vertrag durch den Auftragsverarbeiter zu überprüfen oder durch einen beauftragten Dritten überprüfen zu lassen.

(2) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung. Als Nachweis können auch aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen der eingesetzten Infrastruktur-Partner (z.B. SOC 2 / ISO 27001-Zertifikate von Vercel, Supabase oder AWS) dienen.

(1) Sollte eine Bestimmung dieses AVV unwirksam sein, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.

(2) Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragsverarbeiters (Oberhausen).