Vereinbarung zur Auftragsverarbeitung

1. Parteien und Gegenstand

(1) Verantwortlicher ist das beauftragende Beratungsunternehmen (nachfolgend „Kunde“). Auftragsverarbeiter ist Okan Özkul, Max-Eyth-Straße 17, 71116 Gärtringen (nachfolgend „Anbieter“).

(2) Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb des Portals Beraterantrag.de sowie die darin vereinbarten Leistungen. Der Anbieter verarbeitet dabei personenbezogene Daten, die der Kunde einstellt oder die auf seine Veranlassung entstehen.

(3) Dauer: Die Vereinbarung gilt für die Laufzeit des Hauptvertrages. Sie endet mit ihm, nicht früher.

(4) Nicht erfasst sind die Daten des Kunden selbst, also Firmenangaben, Ansprechpartner sowie Vertrags- und Rechnungsdaten. Für sie ist der Anbieter eigener Verantwortlicher; sie richten sich nach der Datenschutzerklärung.

2. Art und Zweck der Verarbeitung

(1) Erhebung, Speicherung, Organisation, Veränderung, Auslesen, Verwenden, Übermitteln an die vom Kunden bestimmten Stellen, Einschränken und Löschen, jeweils zum Zweck der Vertragserfüllung: Verwaltung von Beratern und Endkunden, Erstellung und Einreichung von Unterlagen bei Behörden, Erzeugung von Dokumenten sowie Benachrichtigungen.

(2) Eine Verarbeitung zu eigenen Zwecken des Anbieters findet nicht statt. Das gilt insbesondere für Auswertung, Produktanalyse und das Training von KI-Modellen.

3. Art der Daten und Kategorien betroffener Personen

(1) Beraterinnen und Berater des Kunden: Vorname, Nachname, Geburtsdatum, Lebenslauf, dienstliche E-Mail-Adresse, Telefonnummer, Meldestatus beim BAFA sowie, bei angelegtem Portalzugang, Anmeldedaten in gehashter Form.

(2) Geschäftsführung des Kunden (soweit für die Registrierung erforderlich): Name, Geburtsdatum, Beteiligungsquote.

(3) Endkundinnen und Endkunden des Kunden sowie deren Ansprechpartner: Firmenname, Ansprechpartner, E-Mail-Adresse, Telefonnummer, Anschrift, Branche, Notizen des Kunden sowie Angaben und Dokumente zu Förderanträgen.

(4) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Kunde stellt sicher, dass er solche Daten nicht einstellt.

4. Weisungen

(1) Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Die Nutzung des Portals gemäß Hauptvertrag gilt als Weisung; darüber hinausgehende Weisungen erteilt der Kunde in Textform an info@beraterantrag.de.

(2) Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies dem Kunden unverzüglich mit und darf ihre Ausführung bis zur Bestätigung aussetzen.

(3) Eine Übermittlung in ein Drittland erfolgt nur auf Weisung oder aufgrund gesetzlicher Verpflichtung; im letzteren Fall unterrichtet der Anbieter den Kunden vorher, sofern das Gesetz dies nicht verbietet.

5. Vertraulichkeit

(1) Der Anbieter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.

6. Sicherheit der Verarbeitung (Art. 32 DSGVO)

(1) Der Anbieter trifft insbesondere folgende Maßnahmen:

• Transportverschlüsselung (TLS) für sämtliche Verbindungen zum Portal.
• Betrieb auf einem eigenen Server in einem Rechenzentrum in Deutschland; Datenbank und Dateiablage sind nur über die Anwendung erreichbar, nicht aus dem offenen Netz.
• Rollen- und Rechtetrennung: Geschäftsführung, Berater und Verwaltung sehen jeweils nur ihren Bereich; die Trennung nach Unternehmen ist in jeder Abfrage verankert.
• Passwörter ausschließlich als Hash; Zugangslinks nur gehasht und mit begrenzter Gültigkeit.
• Drosselung von Anmeldung, Registrierung und Passwortzurücksetzung gegen automatisierte Versuche.
• Prüfung hochgeladener Dateien nach Inhalt, nicht nach Dateiendung; Begrenzung der Dateigröße.
• Tägliche Sicherung von Datenbank und Dokumenten mit einer Aufbewahrung von 14 Tagen; die Wiederherstellbarkeit wird stichprobenweise geprüft. Zusätzlich eine verschlüsselte Kopie außerhalb des Servers, aufbewahrt zehn Jahre. Außerdem geht jede Sicherung verschlüsselt in einen Speicher von Cloudflare in der EU; dort ist sie 30 Tage gegen Löschen gesperrt und wird nach 31 Tagen gelöscht.
• Protokollierung von Fehlern und sicherheitsrelevanten Ereignissen mit Löschung nach sieben Tagen.

(2) Die Maßnahmen unterliegen der technischen Entwicklung. Der Anbieter darf sie anpassen, solange das Schutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

(1) Der Kunde erteilt die allgemeine Genehmigung zum Einsatz der nachstehenden Unterauftragsverarbeiter:

(2) Der Anbieter unterrichtet den Kunden mindestens vier Wochen vorher in Textform über jeden beabsichtigten Wechsel oder Hinzukommen eines Unterauftragsverarbeiters. Der Kunde kann widersprechen; kommt keine Einigung zustande, darf er den Hauptvertrag zum geplanten Zeitpunkt der Änderung außerordentlich kündigen.

(3) Der Anbieter verpflichtet jeden Unterauftragsverarbeiter auf dieselben Datenschutzpflichten und haftet für dessen Verhalten wie für eigenes.

(4) Für die Übermittlung an Anthropic PBC und an Cloudflare, Inc. in den USA gelten die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO und, soweit das Unternehmen zertifiziert ist, der Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Eine Kopie der Klauseln stellt der Anbieter auf Anfrage bereit. Die Fehlermeldungen an Functional Software, Inc. (Sentry) werden in dessen europäischer Datenregion gespeichert; für einen Zugriff aus den USA gelten dieselben Klauseln.

8. Unterstützung des Kunden

(1) Der Anbieter unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO). Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet er sie unverzüglich an den Kunden weiter.

(2) Der Anbieter unterstützt den Kunden bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen.

(3) Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO.

9. Nachweise und Überprüfung

(1) Der Anbieter stellt dem Kunden auf Anfrage die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung.

(2) Der Kunde kann die Verarbeitung überprüfen oder durch einen zur Verschwiegenheit verpflichteten Prüfer überprüfen lassen. Überprüfungen erfolgen nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne vermeidbare Betriebsstörung.

10. Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrages bleiben die Daten 30 Kalendertage im Portal abrufbar. Danach löscht der Anbieter sie einschließlich vorhandener Kopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

(2) Daten in Sicherungskopien werden mit deren regelmäßigem Ablauf gelöscht; die Aufbewahrungsdauer der Sicherungen auf dem Server beträgt 14 Tage. Eine zusätzliche, verschlüsselte Sicherung außerhalb des Servers bewahrt der Anbieter zehn Jahre auf; sie dient allein der Wiederherstellung nach einem Ausfall und wird nicht ausgewertet. Die nächtliche, verschlüsselte Kopie bei Cloudflare (Speicher in der EU) wird dort nach 31 Tagen gelöscht. Nach einer Wiederherstellung vollzieht der Anbieter zwischenzeitlich ausgeführte Löschungen erneut.

(3) Bestehen gesetzliche Aufbewahrungspflichten, wird die Verarbeitung auf die Aufbewahrung beschränkt.

11. Schlussbestimmungen

(1) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung vor, soweit es um die Verarbeitung personenbezogener Daten geht.

(2) Änderungen bedürfen der Textform. Es gilt deutsches Recht.