Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag ("AVV") wird zwischen dem Rexa-Kunden ("Verantwortlicher") und Rexa B.V. ("Auftragsverarbeiter") geschlossen und ist Bestandteil der Nutzungsbedingungen. Er setzt Artikel 28 der Verordnung (EU) 2016/679 (die "DSGVO") und, soweit anwendbar, die EU-Standardvertragsklauseln um.

1. Definitionen

Großgeschriebene Begriffe, die in diesem AVV verwendet, aber nicht definiert werden, haben die in der DSGVO festgelegte Bedeutung. "Personenbezogene Kundendaten" sind personenbezogene Daten, die vom oder im Auftrag des Verantwortlichen innerhalb eines Workspace an den Dienst übermittelt werden.

2. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet Personenbezogene Kundendaten zur Bereitstellung des Dienstes für die Dauer der Nutzungsbedingungen zuzüglich des Datenexportzeitraums nach Vertragsende (30 Tage).

3. Art, Zweck und Datenkategorien

Der Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen folgende Datenkategorien: Kontaktkennungen (E-Mail, Name soweit angegeben), Kartenmetadaten (nur die letzten vier Ziffern), Transaktionsdaten (Händler, Betrag, Datum), Belegdateien (verschlüsselt), OCR-Ausgaben, Genehmigungsentscheidungen, Freitextnotizen und Kommentare, Audit-Ereignisse.

Zu den betroffenen Personen gehören Mitarbeiter und Auftragnehmer des Verantwortlichen, die innerhalb eines Workspace als Karteninhaber, Genehmiger, Finanzmitarbeiter, Administratoren oder Prüfer benannt sind.

4. Pflichten des Auftragsverarbeiters

• Personenbezogene Kundendaten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten (diese Bedingungen + die im Dienst vorgenommenen Konfigurationsentscheidungen).
• Sicherstellen, dass zur Verarbeitung Personenbezogener Kundendaten befugte Personen zur Vertraulichkeit verpflichtet sind.
• Geeignete technische und organisatorische Maßnahmen umsetzen (siehe Anhang II).
• Den Verantwortlichen bei Anfragen betroffener Personen, den Sicherheitspflichten der Artikel 32–36 und Datenschutz-Folgenabschätzungen unterstützen.
• Den Verantwortlichen unverzüglich (und in jedem Fall innerhalb von 24 Stunden nach bestätigter Kenntnis) über jede Verletzung des Schutzes personenbezogener Daten informieren.
• Dem Verantwortlichen alle zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung stellen, einschließlich der Ermöglichung von Audits gemäß Abschnitt 8.

5. Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz der unter /legal/subprocessors aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter kündigt jeden neuen Unterauftragsverarbeiter 30 Tage im Voraus an; der Verantwortliche kann innerhalb dieser Frist widersprechen.

6. Internationale Übermittlungen

Personenbezogene Kundendaten werden in der EU gespeichert. Aktiviert der Kunde optionale KI-Funktionen, können Prompts und ein Aktivitäts-Snapshot des Workspace auf Grundlage der EU-Standardvertragsklauseln (2021/914) und der Transferfolgenabschätzung des Auftragsverarbeiters an einen Unterauftragsverarbeiter in den USA (Anthropic) übermittelt werden.

7. Rechte der betroffenen Personen

Der Auftragsverarbeiter stellt im Produkt Mechanismen für Datenexport (DSGVO Art. 15) und Löschung (Art. 17) bereit, die den betreffenden betroffenen Personen zugänglich sind. Wo Rechte nicht über das Produkt ausgeübt werden können, unterstützt der Auftragsverarbeiter den Verantwortlichen dabei, die Anfrage innerhalb von 30 Tagen zu erfüllen.

8. Auditrechte

Der Auftragsverarbeiter beantwortet einmal jährlich angemessene schriftliche Sicherheitsfragebögen und stellt, sobald verfügbar, eine Kopie der aktuellsten SOC-2- / ISO-27001-Attestierung bereit. Vor-Ort-Audits erfordern eine schriftliche Ankündigung von 30 Tagen und unterliegen der Vertraulichkeit sowie einer angemessenen Kostenerstattung.

9. Rückgabe oder Löschung der Daten

Bei Vertragsende stellt der Auftragsverarbeiter Personenbezogene Kundendaten 30 Tage lang zum Export bereit und löscht sie anschließend innerhalb von 60 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht (z. B. die niederländische steuerliche Aufbewahrungspflicht).

10. Anwendbares Recht

Dieser AVV unterliegt dem Recht der Niederlande. Die zuständigen Gerichte in Amsterdam haben ausschließliche Zuständigkeit.

Anhang I — Verarbeitungsdetails

Gegenstand: Bereitstellung des Dienstes. Dauer: Laufzeit der Bedingungen + 30-tägiges Exportfenster. Art: Speicherung, Abruf, OCR-Verarbeitung, Zuordnung, Export. Datenkategorien: wie in Abschnitt 3. Kategorien betroffener Personen: wie in Abschnitt 3.

Anhang II — Technische und organisatorische Maßnahmen

• Verschlüsselung im Ruhezustand (AES-256-GCM-Envelope; KMS-verwalteter Schlüssel in der Produktion).
• Verschlüsselung bei der Übertragung (TLS für alle internen und externen Verbindungen in der Produktion).
• Row-Level-Security in Postgres auf jeder Mandantentabelle.
• Die Anwendung läuft unter einer Datenbankrolle ohne Superuser-Rechte.
• Append-only-Audit-Log, erzwungen auf Ebene der SQL-Berechtigungen.
• Multi-Faktor-Authentifizierung verfügbar; für Administratoren auf Enterprise verpflichtend.
• Trennung von Produktions- und Nicht-Produktionsumgebungen.
• Vierteljährliche Tabletop-Übungen zur Vorfallsreaktion.
• Due Diligence bei Unterauftragsverarbeitern und AVV mit jedem Unterauftragsverarbeiter.

Anhang III — Unterauftragsverarbeiter

Gepflegt unter /legal/subprocessors.