Auftragsverarbeitungsvertrag

Zwischen den Parteien

[Kunde] — Firma, Sitz und Vertretungsberechtigung gemäß den im Flonk-Dashboard hinterlegten Registrierungsdaten

– nachfolgend „Verantwortlicher" oder „Kunde" –

und

SIA "Flonk Identity"
Piekrastes iela 41A – 120
LV-5422 Daugavpils, Lettland
vertreten durch das Vorstandsmitglied Maksims Baduļins
Unternehmensregister: Komercreģistrs (Lettland), Nr. 40203761523

– nachfolgend „Auftragsverarbeiter" oder „Flonk" –

– gemeinsam „Parteien", einzeln „Partei" –

Präambel

Der Verantwortliche nutzt die durch den Auftragsverarbeiter unter der Marke „Flonk" über die Domain https://flonk.id bereitgestellte Software-as-a-Service-Plattform zur digitalen Identitätsverifizierung (nachfolgend „Flonk-Plattform" oder „Dienst"). Im Rahmen der Bereitstellung des Dienstes verarbeitet der Auftragsverarbeiter personenbezogene Daten weisungsgebunden im Auftrag des Verantwortlichen im Sinne von Art. 4 Nr. 8, Art. 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – „DSGVO").

Dieser Vertrag konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien, die sich aus der Auftragsverarbeitung im Sinne des Art. 28 DSGVO ergeben. Er findet Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag (Allgemeine Geschäftsbedingungen, Enterprise-Vertrag oder sonstige Vereinbarung über die Nutzung der Flonk-Plattform – „Hauptvertrag") im Zusammenhang stehen und bei denen Mitarbeitende des Auftragsverarbeiters oder von ihm beauftragte Unter-Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeiten.

§ 1 Gegenstand und Dauer des Auftrags

(1) Gegenstand. Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten von Endnutzern des Verantwortlichen (insbesondere Personen, die sich über die Flonk-Plattform identifizieren – nachfolgend „Endnutzer" bzw. „betroffene Personen") durch den Auftragsverarbeiter zum Zwecke der Erbringung der im Hauptvertrag beschriebenen Leistungen, insbesondere:

• a) Auslesen und Echtheitsprüfung amtlicher Ausweisdokumente;
• b) biometrischer 1:1-Abgleich (Selfie ↔ Ausweisbild);
• c) Liveness-Detection;
• d) Bereitstellung von API, SDKs, Webhooks und Dashboard;
• e) Dokumentation und Reporting der Verifikationsergebnisse;
• f) sofern der Verantwortliche dies aktiviert, Abgleich der Endnutzer mit Sanktions-, PEP- und Beobachtungslisten sowie Screening auf negative Medienberichte einschließlich laufender Überwachung (AML-Screening).

(2) Dauer. Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags. Verpflichtungen, die ihrer Natur nach über die Vertragslaufzeit hinaus fortbestehen sollen (insbesondere Geheimhaltung, Rückgabe/Löschung von Daten, Mitwirkungspflichten bei behördlichen Verfahren), gelten auch nach Beendigung fort.

(3) Vorrang. Dieser AVV geht in Datenschutzfragen den Regelungen des Hauptvertrags vor. Im Übrigen gelten die Bestimmungen des Hauptvertrags ergänzend.

§ 2 Art und Zweck der Verarbeitung

(1) Art der Verarbeitung. Die Verarbeitung umfasst insbesondere: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, Abgleich oder Verknüpfung, Einschränken, Löschen oder Vernichten (Art. 4 Nr. 2 DSGVO).

(2) Zweck der Verarbeitung. Die Verarbeitung erfolgt ausschließlich zum Zweck der digitalen Identitätsverifizierung der Endnutzer des Verantwortlichen sowie zur Bereitstellung, dem Betrieb und der Weiterentwicklung der hierzu erforderlichen technischen Infrastruktur, einschließlich Sicherheits-, Betrugspräventions- und Auditzwecken. Sofern der Verantwortliche das AML-Screening aktiviert, dient die Verarbeitung zudem dem Abgleich der Endnutzer mit Sanktions-, PEP- und Beobachtungslisten sowie dem Screening auf negative Medienberichte auf Weisung des Verantwortlichen, zur Unterstützung seiner Pflichten zur Verhinderung von Geldwäsche und Terrorismusfinanzierung. Der Auftragsverarbeiter informiert Endnutzer nicht über mögliche Treffer; die Prüfung der Treffer und etwaige weitere Schritte gegenüber dem Endnutzer obliegen dem Verantwortlichen im Rahmen seiner eigenen geldwäscherechtlichen Pflichten.

(3) Keine eigene Zweckverfolgung. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt; ausgenommen sind anonymisierte statistische Auswertungen sowie die Verbesserung der Modelle und Algorithmen auf Basis vollständig anonymisierter Daten, soweit hierdurch keine Rückschlüsse auf einzelne Personen möglich sind.

§ 3 Art der personenbezogenen Daten und Kategorien betroffener Personen

(1) Kategorien betroffener Personen. Endnutzer des Verantwortlichen, die sich über die Flonk-Plattform verifizieren lassen; ggf. Beschäftigte/Bevollmächtigte des Verantwortlichen, die das Dashboard nutzen.

(2) Datenkategorien:

• a) Identifikations- und Stammdaten: Vor-/Nachname, Geburtsname, Geburtsdatum, Geburtsort, Geburtsland, Staatsangehörigkeit, Geschlecht, Anschrift, Unterschrift.
• b) Ausweisdokumentendaten: Dokumententyp, Dokumentennummer, ausstellende Behörde, Ausstellungs- und Ablaufdatum, MRZ-Daten, NFC-Chip-Daten, Sicherheitsmerkmale.
• c) Biometrische Daten (Art. 9 Abs. 1 DSGVO): Lichtbild aus dem Ausweis, Live-Selfie(s), Video-/3D-Tiefendaten für Liveness, biometrische Templates.
• d) Verifikations-/Ergebnisdaten: Session-ID, Zeitstempel, Ergebnis (erfolgreich/abgelehnt/manuelle Prüfung), Konfidenz- und Risiko-Scores.
• e) Technische Metadaten: IP-Adresse, Gerätetyp, Betriebssystem, Browser, Geräte-Fingerprint, Sprache, ungefährer Standort.
• f) Kommunikations-/Zuordnungsdaten: vom Verantwortlichen übermittelte Referenz-IDs, E-Mail-Adressen, sonstige Client-Metadaten.
• g) Dashboard-Nutzerdaten: Name, geschäftliche E-Mail, Rolle, Login-Daten, Zugriffsprotokolle.
• h) AML-Screening-Daten (nur, sofern der Verantwortliche das AML-Screening aktiviert): Name, Geburtsdatum und Staatsangehörigkeit aus dem Ausweisdokument; vom Screening-Anbieter gemeldete mögliche Treffer (einschließlich Listenquelle und Kategorie), Trefferbewertung, Ergebnisse des Medien-Screenings und Prüfentscheidung. An den Screening-Anbieter wird ausschließlich der Name übermittelt, bei aktivierter laufender Überwachung zusammen mit einer pseudonymen Verifizierungs-ID; Geburtsdatum und Staatsangehörigkeit werden nicht übermittelt.

(3) Besondere Kategorien. Da biometrische Daten zur eindeutigen Identifizierung verarbeitet werden, liegen besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO vor. Der Verantwortliche stellt sicher, dass eine wirksame Rechtsgrundlage gemäß Art. 9 Abs. 2 DSGVO besteht (in der Regel ausdrückliche Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO).

§ 4 Verantwortlichkeit und Weisungsrecht

(1) Verantwortlichkeit. Datenschutzrechtlich Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Kunde. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der vertraglich vereinbarten Leistungen und auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet ist; in diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen. Weisungen werden grundsätzlich in Textform durch hierzu autorisierte Personen erteilt. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Standardweisungen ergeben sich aus den im Hauptvertrag, der Dokumentation und in der API-Konfiguration (z. B. Workflow-Einstellungen im Dashboard) festgelegten Parametern.

(3) Hinweis auf Rechtswidrigkeit. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Bestimmungen verstößt, wird er den Verantwortlichen unverzüglich darauf hinweisen (Art. 28 Abs. 3 Satz 3 DSGVO). Der Auftragsverarbeiter ist berechtigt, die Ausführung der entsprechenden Weisung bis zur Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

(4) Ansprechpartner. Die Parteien benennen jeweils kompetente Ansprechpartner für datenschutzrechtliche Fragestellungen. Der Auftragsverarbeiter hat einen Ansprechpartner für Datenschutz benannt; die Kontaktdaten werden im Dashboard und auf Anfrage bereitgestellt.

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere zu Folgendem:

(1) Verarbeitung gemäß DSGVO. Verarbeitung ausschließlich im Rahmen der dokumentierten Weisungen des Verantwortlichen und gemäß Art. 28, 29 und 32 DSGVO.

(2) Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO). Verpflichtung aller mit der Datenverarbeitung betrauten Personen zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, sowie zur Einhaltung des Datengeheimnisses.

(3) Technisch-organisatorische Maßnahmen (Art. 32 DSGVO). Ergreifung und Aufrechterhaltung der in Anlage 1 definierten technischen und organisatorischen Maßnahmen (TOMs). Die Maßnahmen können entsprechend dem Stand der Technik weiterentwickelt werden, dürfen jedoch nicht hinter das vereinbarte Schutzniveau zurückfallen.

(4) Unterstützung des Verantwortlichen (Art. 28 Abs. 3 lit. e und f DSGVO). Unterstützung bei der Erfüllung der Pflichten nach Art. 12–22 DSGVO (Betroffenenrechte) sowie nach Art. 32–36 DSGVO (Datensicherheit, Meldepflichten, Datenschutz-Folgenabschätzung, vorherige Konsultation). Der Auftragsverarbeiter ist berechtigt, einen angemessenen Mehraufwand für Unterstützungsleistungen, die über den vertraglich vereinbarten Standardumfang hinausgehen, gesondert in Rechnung zu stellen.

(5) Meldepflichten bei Datenschutzverletzungen (Art. 33 DSGVO). Information des Verantwortlichen unverzüglich, in der Regel innerhalb von 48 Stunden, nach Kenntnis von einer Verletzung des Schutzes personenbezogener Daten. Die Meldung erfolgt an den vom Verantwortlichen benannten Kontakt und enthält mindestens die in Art. 33 Abs. 3 DSGVO genannten Angaben, soweit verfügbar.

(6) Ansprechpartner für Datenschutz. Der Auftragsverarbeiter hat einen Ansprechpartner für Datenschutz benannt; die Kontaktdaten werden im Dashboard und auf Anfrage bereitgestellt.

(7) Verzeichnis von Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO). Der Auftragsverarbeiter führt ein Verzeichnis aller Verarbeitungstätigkeiten und legt es auf Anforderung der Aufsichtsbehörde oder des Verantwortlichen vor.

(8) Datenminimierung und Speicherbegrenzung. Daten werden nur in dem Umfang verarbeitet und nur so lange gespeichert, wie es zur Erfüllung der vertraglichen Pflichten und zur Einhaltung gesetzlicher Aufbewahrungsfristen erforderlich ist.

(9) Rückgabe und Löschung (Art. 28 Abs. 3 lit. g DSGVO). Nach Abschluss der Erbringung der Verarbeitungsleistungen werden alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder gelöscht oder zurückgegeben; bestehende gesetzliche Aufbewahrungspflichten bleiben unberührt. Einzelheiten regelt § 11.

§ 6 Pflichten des Verantwortlichen

(1) Rechtmäßigkeit. Der Verantwortliche ist allein verantwortlich für die Rechtmäßigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der betroffenen Personen, insbesondere für das Bestehen einer wirksamen Rechtsgrundlage (einschließlich Einwilligungen nach Art. 9 Abs. 2 lit. a DSGVO).

(2) Information und Einwilligung. Der Verantwortliche stellt sicher, dass die betroffenen Personen ordnungsgemäß über die Datenverarbeitung informiert werden (Art. 13, 14 DSGVO) und – sofern erforderlich – wirksame Einwilligungen vorliegen, die jederzeit dokumentiert nachgewiesen werden können.

(3) Weisungserteilung. Der Verantwortliche benennt eine oder mehrere weisungsbefugte Personen und teilt dem Auftragsverarbeiter Änderungen unverzüglich mit.

(4) Mitwirkungspflichten. Der Verantwortliche unterstützt den Auftragsverarbeiter bei der Erfüllung seiner gesetzlichen Pflichten, insbesondere durch zeitnahe Beantwortung von Anfragen.

(5) Information bei Pannen. Der Verantwortliche meldet Datenschutzverletzungen, die ihm zur Kenntnis gelangen und die mit der Verarbeitung durch den Auftragsverarbeiter im Zusammenhang stehen können, unverzüglich an support@flonk.id mit dem Betreff „DRINGEND! DATENSCHUTZPANNE!".

(6) Anforderungen an Endnutzer. Der Verantwortliche bindet die Flonk-Plattform so in seine Prozesse ein, dass den Endnutzern vor Beginn der Verifikation die Datenschutzhinweise und die Einwilligungserklärung in transparenter Form angezeigt werden.

§ 7 Unter-Auftragsverarbeiter

(1) Genehmigung. Der Verantwortliche erteilt dem Auftragsverarbeiter mit Abschluss dieses AVV die allgemeine schriftliche Genehmigung im Sinne von Art. 28 Abs. 2 Satz 2 DSGVO zur Einschaltung von Unter-Auftragsverarbeitern. Eine aktuelle Liste der bei Vertragsschluss eingesetzten Unter-Auftragsverarbeiter ist in Anlage 2 beigefügt.

(2) Vertragliche Verpflichtung. Der Auftragsverarbeiter verpflichtet jeden Unter-Auftragsverarbeiter im Wege eines Vertrags auf datenschutzrechtliche Pflichten, die denen dieses AVV im Wesentlichen entsprechen, insbesondere im Hinblick auf hinreichende technische und organisatorische Maßnahmen.

(3) Änderung von Unter-Auftragsverarbeitern. Der Auftragsverarbeiter wird den Verantwortlichen über beabsichtigte Änderungen (Hinzunahme oder Ersetzung von Unter-Auftragsverarbeitern) mindestens 30 Kalendertage vor Wirksamwerden in Textform (per E-Mail an die im Dashboard hinterlegte Datenschutzkontaktadresse) unter Angabe des Datums des Wirksamwerdens informieren. Die aktuelle Liste der Unterauftragsverarbeiter ist Anlage 2; der Auftragsverarbeiter stellt sie auf Anfrage in ihrer jeweils aktuellen Fassung bereit.

(4) Widerspruchsrecht. Der Verantwortliche kann der Änderung innerhalb von 14 Kalendertagen nach Information aus wichtigem datenschutzrechtlichen Grund widersprechen. Im Falle eines berechtigten Widerspruchs werden sich die Parteien nach Treu und Glauben um eine einvernehmliche Lösung bemühen. Lässt sich keine Einigung erzielen, ist der Verantwortliche zur außerordentlichen Kündigung des Hauptvertrags und dieses AVV berechtigt.

(5) Konzerninterne Dienstleister. Keine Unter-Auftragsverarbeitung im Sinne dieses Vertrags liegt vor bei Tätigkeiten, die der Auftragsverarbeiter von Dritten als reine Nebenleistung in Anspruch nimmt (z. B. Telekommunikations-, Reinigungs- oder Bewachungsdienste), sofern hierbei kein regelhafter Zugang zu personenbezogenen Daten besteht.

§ 8 Drittlandtransfer

(1) Grundsatz. Die Datenverarbeitung erfolgt grundsätzlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (EWR): Anwendungs-Hosting in Amsterdam (Niederlande), Datenbank in der EU, Objektspeicher (Dokumentenbilder, Selfies) und biometrische Verarbeitung in Frankfurt am Main (Deutschland), Adressnachweis-Inferenz ausschließlich in EU-Regionen sowie Schlüsselverwaltung in der EU. Sofern der Verantwortliche das AML-Screening aktiviert, werden Namen durch die dilisense GmbH (Zürich, Schweiz; Verarbeitung in der EU, laut Angaben des Anbieters), durch die OpenSanctions Datenbanken GmbH (Berlin, Deutschland; Verarbeitung in Frankfurt am Main (Google Cloud EMEA)) oder durch beide abgeglichen; für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO). Transaktionale E-Mails an Endnutzer (etwa Benachrichtigungen über das Verifizierungsergebnis) werden über einen Mailserver in London (Vereinigtes Königreich) versendet, für das ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO) besteht.

(2) Drittlandtransfer. Eine Übermittlung in Drittländer findet nur statt, sofern die Voraussetzungen von Art. 44 ff. DSGVO erfüllt sind, insbesondere durch:

• a) Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO), soweit einschlägig;
• b) EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) in der jeweils gültigen Fassung, ggf. ergänzt um zusätzliche technische und organisatorische Schutzmaßnahmen (Transfer Impact Assessment). Die Standardvertragsklauseln der EU (Modul 3) sind der Transfer-Mechanismus für die in Anlage 2 aufgeführten Unterauftragsverarbeiter mit Sitz in den USA; die Daten selbst verbleiben in der EU.

(3) Verbot des Transfers biometrischer Rohdaten. Eine Übermittlung biometrischer Rohdaten (Selfies, Liveness-Videos, biometrische Templates) in Drittländer findet ohne ausdrückliche schriftliche Vereinbarung mit dem Verantwortlichen nicht statt.

§ 9 Unterstützung bei Betroffenenrechten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen betroffener Personen auf Wahrnehmung ihrer Rechte nach Art. 15–22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf der Einwilligung, Recht auf Eingreifen einer Person bei automatisierter Entscheidung).

(2) Direkter Kontakt durch betroffene Personen. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter. Der Auftragsverarbeiter gibt selbstständig keine inhaltlichen Auskünfte, es sei denn, der Verantwortliche hat dies ausdrücklich gestattet.

(3) Behörden und Gerichte. Werden personenbezogene Daten beim Auftragsverarbeiter durch staatliche Stellen angefordert, wird er den Verantwortlichen unverzüglich darüber informieren, soweit dies gesetzlich zulässig ist, und – soweit zumutbar und rechtlich möglich – auf eine vorherige Anhörung des Verantwortlichen hinwirken.

§ 10 Kontrollrechte und Audits

(1) Nachweispflicht. Der Auftragsverarbeiter weist die Einhaltung der vereinbarten Pflichten auf Anforderung in geeigneter Weise nach, insbesondere durch:

• a) Bereitstellung seiner schriftlichen, jeweils aktuellen TOM-Dokumentation (Anlage 1);
• b) Vorlage aktueller Audit-Berichte oder Zertifikate des Auftragsverarbeiters, soweit vorhanden;
• c) Vorlage aktueller Audit-Berichte oder Zertifikate der eingesetzten Unterauftragsverarbeiter, soweit vorhanden;
• d) Beantwortung schriftlicher Fragenkataloge.

(2) Vor-Ort-Audit. Soweit die in Absatz 1 genannten Nachweise im Einzelfall nicht ausreichen, ist der Verantwortliche berechtigt, ein Audit der Verarbeitungsanlagen des Auftragsverarbeiters in geschäftsüblichen Zeiten und nach angemessener Vorankündigung (mindestens 30 Kalendertage) durchzuführen oder durch einen unabhängigen, zur Verschwiegenheit verpflichteten Prüfer durchführen zu lassen. Der Prüfer darf weder Wettbewerber des Auftragsverarbeiters sein noch in einem sonstigen Interessenkonflikt stehen.

(3) Häufigkeit. Solche Audits finden in der Regel höchstens einmal jährlich statt; bei begründetem Verdacht auf Datenschutzverstöße sowie auf Verlangen einer Aufsichtsbehörde sind anlassbezogene Audits zulässig.

(4) Kosten. Die Kosten eines Audits trägt der Verantwortliche; der Auftragsverarbeiter ist berechtigt, seinen Mitwirkungsaufwand nach den jeweils gültigen Sätzen in Rechnung zu stellen, es sei denn, das Audit fördert wesentliche Verstöße des Auftragsverarbeiters zutage.

(5) Geheimhaltung und Sicherheit. Audits dürfen die Betriebsabläufe nicht unverhältnismäßig beeinträchtigen und nicht zur Offenlegung von Geschäftsgeheimnissen Dritter oder anderer Kunden führen. Alle im Rahmen des Audits erlangten Informationen sind streng vertraulich zu behandeln.

§ 11 Löschung und Rückgabe von Daten

(1) Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht oder gibt der Auftragsverarbeiter alle personenbezogenen Daten nach Wahl des Verantwortlichen zurück.

(2) Aufbewahrungspflichten. Eine Aufbewahrung erfolgt nur, soweit gesetzliche Aufbewahrungspflichten nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, denen der Auftragsverarbeiter oder der Verantwortliche unterliegt, dies erfordern. Während der Aufbewahrung bleiben die in diesem AVV geregelten Schutzmaßnahmen unverändert in Kraft.

(3) Vorzeitige Anonymisierung. Der Verantwortliche kann jederzeit die irreversible Anonymisierung einzelner oder aller Datensätze veranlassen, soweit keine gesetzlichen Pflichten entgegenstehen.

(4) Nachweis. Auf Anforderung weist der Auftragsverarbeiter die ordnungsgemäße Löschung in geeigneter Form nach.

§ 12 Haftung und Vertragsstrafen

(1) Haftung im Außenverhältnis. Im Verhältnis zur betroffenen Person haftet jede Partei nach Maßgabe der Art. 82 DSGVO.

(2) Innenverhältnis. Im Innenverhältnis richtet sich die Haftung zwischen den Parteien nach den Regelungen des Hauptvertrags. Soweit der Hauptvertrag keine Regelung enthält, gelten die gesetzlichen Bestimmungen.

(3) Bußgelder. Bußgelder nach Art. 83 DSGVO trägt diejenige Partei, deren Pflichtverletzung ursächlich für die Verhängung war. Bei beiderseitigem Verschulden erfolgt eine Aufteilung entsprechend dem Verantwortungsbeitrag.

§ 13 Schlussbestimmungen

(1) Schriftform. Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für die Aufhebung dieser Textformklausel.

(2) Salvatorische Klausel. Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, so wird hierdurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. Anstelle der unwirksamen Bestimmung gilt diejenige wirksame und durchführbare Regelung als vereinbart, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

(3) Rechtswahl und Gerichtsstand. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand für sämtliche Streitigkeiten ist – soweit gesetzlich zulässig – Hannover, Deutschland.

(4) Anlagen. Folgende Anlagen sind Bestandteil dieses AVV:

• Anlage 1: Technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO
• Anlage 2: Liste der Unter-Auftragsverarbeiter

Anlage 1 — Technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO

Die nachfolgenden Maßnahmen werden kontinuierlich an den Stand der Technik angepasst.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

Die Verarbeitung findet in Rechenzentren der in Anlage 2 aufgeführten Unterauftragsverarbeiter innerhalb der EU statt (Anwendungs-Hosting in Amsterdam, Niederlande; Objektspeicher und biometrische Verarbeitung in Frankfurt am Main, Deutschland). Die physische Sicherheit dieser Einrichtungen (Zutrittskontrolle, Überwachung, Besuchermanagement) wird von den jeweiligen Rechenzentrumsbetreibern gemäß deren veröffentlichter Sicherheitsdokumentation gewährleistet. Der Auftragsverarbeiter betreibt keine eigenen Räumlichkeiten zur Verarbeitung personenbezogener Daten.

1.2 Zugangskontrolle

Schutz vor unbefugter Systemnutzung durch:

• Zwei-Faktor-Authentifizierung (TOTP) für alle Dashboard-Nutzer verfügbar; verpflichtend für Mitarbeitende des Auftragsverarbeiters mit administrativem Zugriff, deren administrative Vorgänge mit hoher Tragweite zusätzlich einen Einmalcode (Step-up) erfordern,
• Speicherung von Passwörtern ausschließlich als bcrypt-Hashes,
• API-Zugriff über Secret Keys (serverseitig) und Publishable Keys (Browser); kurzlebige, sitzungsgebundene signierte Tokens für das Verifikations-Widget,
• rollenbasierte Zugriffskontrollen (RBAC) nach dem Need-to-know-Prinzip,
• Überprüfung und Bereinigung von Berechtigungen sowie zeitnaher Entzug von Berechtigungen beim Off-Boarding.

1.3 Zugriffskontrolle

Sicherstellung, dass Berechtigte ausschließlich auf die ihrer Berechtigung unterliegenden Daten zugreifen können:

• granulares Berechtigungskonzept,
• Append-only-Audit-Trails für Verifikationsvorgänge, administrative Aktionen, Ereignisse des Identity Vault (Anlage, Wiederverwendung, Widerruf, Änderung der Einwilligung) sowie Sicherheits- und Anti-Spoofing-Ereignisse,
• Verschlüsselung at-rest auf Feldebene (AES-256-GCM) für Identitätsmerkmale (Geburtsdatum, Staatsangehörigkeit, Geschlecht, Dokumentennummer, Anschrift, Geburtsort), Speicherobjektpfade, API-Secret-Keys der Kunden, Webhook-Secrets und Einwilligungsmetadaten,
• Envelope-Verschlüsselung: Datenschlüssel werden von einem Key-Management-Service (AWS KMS) erzeugt und jeder Datenschlüssel wird zusätzlich mit einem Backup-Schlüssel in einem selbst betriebenen Key Vault (HashiCorp Vault) umschlossen; Datenschlüssel liegen im Klartext nur im Prozessspeicher mit kurzer Inaktivitäts-Zeitüberschreitung vor,
• schlüsselbasierter Blind-Index (HMAC-SHA256) für durchsuchbare Identifikatoren; für diesen Index wird kein Klartext gespeichert,
• mindestens TLS 1.2 (bevorzugt TLS 1.3) in-transit für alle externen Verbindungen,
• Protokolle enthalten Identifikatoren und Ergebnisse, keine personenbezogenen Daten.

1.4 Trennungskontrolle

Logische Mandantentrennung: Alle Datensätze sind einem Kundenprojekt zugeordnet, und jeder Zugriff wird gegen das Projekt und den API-Schlüssel der anfragenden Partei geprüft; getrennte Staging- und Produktivumgebungen mit getrennten Zugangsdaten und getrennten Datenbanken.

1.5 Pseudonymisierung

Wo immer fachlich möglich, werden Daten pseudonymisiert verarbeitet: Durchsuchbare Identifikatoren werden als schlüsselbasierter Blind-Index (HMAC-SHA256) statt im Klartext gespeichert; Protokolle, Monitoring und Webhook-Benachrichtigungen referenzieren Datensätze über Identifikatoren und Ergebnisse statt über personenbezogene Daten.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

Verschlüsselte Übertragung sämtlicher Daten über externe Verbindungen (mindestens TLS 1.2, bevorzugt TLS 1.3); die Verbindung zum biometrischen Verarbeitungsserver nutzt zusätzlich Mutual TLS, eine IP-Allowlist und einen API-Schlüssel, und die Host-Firewall des Servers gibt ausschließlich HTTPS und SSH frei; Webhooks werden mit HMAC-SHA256 signiert; API-Authentifizierung über Secret Keys mit hoher Entropie; projektbezogene CORS-Allowlist; keine Übertragung personenbezogener Daten auf physischen Datenträgern.

2.2 Eingabekontrolle

Append-only-Audit-Trails für Verifikationsvorgänge und administrative Aktionen (Wer, Wann, Was); zusätzliche Einmalcodes (Step-up) für administrative Vorgänge mit hoher Tragweite; Idempotenzschlüssel verhindern die doppelte Verarbeitung wiederholter API-Anfragen.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

3.1 Verfügbarkeitskontrolle

Datenhaltung innerhalb der EU; verwaltete Datenbank-Backups durch den Hosting-Unterauftragsverarbeiter; Verfügbarkeitsüberwachung der Produktivdienste; physische Verfügbarkeitsmaßnahmen (Stromversorgung, Brandschutz, Klimatisierung) werden von den Rechenzentren der Unterauftragsverarbeiter (Anlage 2) bereitgestellt.

3.2 Wiederherstellbarkeit

Die Wiederherstellbarkeit verschlüsselter Daten wird durch das Schlüsselwiederherstellungskonzept sichergestellt: Jeder Datenschlüssel wird zweifach umschlossen (Master-Schlüssel des Key-Management-Service und Backup-Schlüssel im selbst betriebenen Key Vault), sodass jeder Pfad allein die Daten wiederherstellen kann; Offline-Kaltkopien des Schlüsselmaterials werden für die Wiederherstellung im äußersten Notfall vorgehalten. Datenbankinhalte sind aus den verwalteten Backups des Hosting-Unterauftragsverarbeiters wiederherstellbar.

3.3 Schutz vor Angriffen

Schutz auf Netzwerkebene durch die Hosting-Infrastruktur; Rate-Limiting, projektbezogene CORS-Allowlist und HTTP-Security-Header auf Anwendungsebene; Host-Firewall und Fail2Ban auf dem biometrischen Verarbeitungsserver; Sicherheitsüberprüfungen der Plattform; Patch-Management der Anwendungsabhängigkeiten und Betriebssysteme.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

4.1 Datenschutz-Management

Benannter Ansprechpartner für Datenschutz, Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO), dokumentierte interne Datenschutzrichtlinien; ein an ISO/IEC 27001 ausgerichtetes Informationssicherheits-Managementsystem befindet sich im Aufbau.

4.2 Incident-Response-Management

Incident-Response-Verfahren mit definierten Eskalationswegen, 48-Stunden-Meldekette an Verantwortliche (§ 5 Abs. 5), Post-Incident-Reviews.

4.3 Privacy by Design / by Default (Art. 25 DSGVO)

Datenschutzfreundliche Voreinstellungen, Datenminimierung in der Produktentwicklung, projektbezogen konfigurierte Aufbewahrungsfristen, Sicherheits- und Datenschutzprüfung vor Release von Features, die die Verarbeitung personenbezogener Daten verändern.

4.4 Auftragskontrolle

Sorgfältige Auswahl von Unter-Auftragsverarbeitern, schriftliche Verträge gemäß Art. 28 DSGVO mit jedem Unter-Auftragsverarbeiter, regelmäßige Überprüfung der dortigen TOMs, dokumentierte Verpflichtung auf das Schutzniveau dieser Anlage.

5. Personelle Maßnahmen

• Schriftliche Verpflichtung aller Mitarbeitenden auf Vertraulichkeit und das Datengeheimnis (Art. 28 Abs. 3 lit. b DSGVO),
• Zugriff auf personenbezogene Daten nur für Mitarbeitende, die ihn für ihre Rolle benötigen,
• Off-Boarding-Prozesse mit zeitnahem Entzug aller Berechtigungen.

6. Zertifizierungen

• Der Auftragsverarbeiter betreibt ein an ISO/IEC 27001 ausgerichtetes Informationssicherheits-Managementsystem; eine Zertifizierung befindet sich in Vorbereitung. Der Auftragsverarbeiter verfügt derzeit über kein ISO/IEC 27001- oder SOC-2-Zertifikat.
• Die biometrische Verarbeitung (Dokumentenauslesung, Liveness-Detection, Gesichtsabgleich) läuft auf lizenzierter Software, die auf einem dedizierten Server unter der Kontrolle des Auftragsverarbeiters in Frankfurt am Main (Deutschland) selbst betrieben wird; Bilder werden nicht an den Softwarehersteller übermittelt.
• Zertifizierungen der Rechenzentren der Unterauftragsverarbeiter sind in deren jeweiliger Sicherheitsdokumentation aufgeführt (Anlage 2).

Anlage 2 — Liste der Unter-Auftragsverarbeiter

Die nachfolgende Liste gibt den Stand zum o. g. Vertragsdatum wieder.

AML-Screening. Für das AML-Screening setzt der Auftragsverarbeiter dilisense, OpenSanctions oder beide ein. Diese Anbieter werden nur eingesetzt, sofern der Verantwortliche das AML-Screening aktiviert. Bei laufender Überwachung speichert dilisense Namen und Verifizierungs-ID bis zum Ende der Überwachung; der Auftragsverarbeiter löscht das Profil, wenn die Überwachung beendet, die Verifizierung abgelehnt oder gelöscht oder das Projekt gelöscht wird.

Schlüsselverwaltung (keine personenbezogenen Daten)