Vertrag zur Auftragsverarbeitung

Dieser Vertrag nach Art. 28 DSGVO wird zwischen dem Kunden (Verantwortlicher) und Katharina Schreiner, Einzelunternehmen unter der Geschäftsbezeichnung Trade Mondo, Taunusstraße 29, 60329 Frankfurt am Main (Auftragsverarbeiterin), geschlossen. Er wird mit der Registrierung Bestandteil des Nutzungsvertrags und geht den AGB in Datenschutzfragen vor.

1. Gegenstand, Dauer, Art und Zweck

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Kunde in Form von Dokumenten des Außenhandels in die Plattform einstellt oder dorthin senden lässt. Zweck ist die Prüfung, Zuordnung, Fristenüberwachung und Aufbereitung dieser Dokumente sowie die Erzeugung daraus abgeleiteter Unterlagen. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

2. Art der Daten und Kreis der Betroffenen

Daten: Namen, Anschriften, Kontaktdaten, Funktionen und Unterschriften der in den Dokumenten genannten Personen; Bankverbindungen; Vertrags-, Liefer- und Zahlungsdaten; alle weiteren Angaben, die der Kunde hochlädt.

Betroffene: Beschäftigte des Kunden, Ansprechpartner von Käufern, Banken, Speditionen, Versicherern, Kammern und Behörden.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; der Kunde stellt sicher, dass er solche Daten nicht einstellt.

3. Weisungen

Die Auftragsverarbeiterin verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Die Nutzung der Funktionen der Plattform gilt als Weisung. Ist die Auftragsverarbeiterin der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilt sie dies mit und darf die Ausführung aussetzen.

Ausnahme: Soweit Unionsrecht oder deutsches Recht die Verarbeitung vorschreibt, insbesondere der Abgleich gegen Sanktionslisten, verarbeitet die Auftragsverarbeiterin auch ohne Weisung und unterrichtet den Kunden darüber, sofern das Gesetz dies nicht verbietet.

4. Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO); die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung: TLS auf allen Verbindungen; Dokumente und Sicherungen werden im Rechenzentrum der IONOS SE in Frankfurt am Main verschlüsselt gespeichert (AES-256), Sicherungen zusätzlich mit einem eigenen Schlüssel der Auftragsverarbeiterin; Zugriff auf den Speicher nur mit Zugangsschlüssel; Zugangsdaten nur als Hashwert.
• Datenbank: nur aus dem internen Netz des Servers erreichbar, nicht aus dem Internet; getrennte Datenbankbenutzer je Zweck mit Rechten nur auf ihre eigene Datenbank.
• Zugangskontrolle: Anmeldung mit Zwei-Faktor-Bestätigung per E-Mail, Ersatzcodes, Widerruf aller Sitzungen über einen Stichtag.
• Mandantentrennung: Jeder Datensatz trägt die Kennung des Unternehmens; jede Abfrage ist darauf beschränkt — auch für die Plattform-Administration, die keinen pauschalen Zugriff auf Kundendaten hat.
• Eingabekontrolle: Prüfprotokoll je Vorgang mit Person, Zeitpunkt und Handlung; Freigaben werden mit Namen protokolliert.
• Betrugserkennung: Von jedem Dokument werden Prüfsummen (SHA-256) gespeichert, eine davon über den von Namen, Zahlen und Bankdaten bereinigten Text. Stimmen sie mit Prüfsummen anderer Kunden überein, erhält der Kunde einen Hinweis mit der Anzahl, nie mit Inhalten oder Namen. Die Prüfsummen werden mit dem Vorgang gelöscht.
• Uploadprüfung: Dateien werden nach Inhalt geprüft, nicht nach Endung; ausführbare und aktive Inhalte werden abgewiesen.
• Verfügbarkeit: Sicherung alle vier Stunden in ein getrenntes Speicherziel in Frankfurt am Main; Wiederherstellung aus dem Quellstand innerhalb weniger Stunden möglich.
• Trennung der Umgebungen: Entwicklung und Produktion nutzen getrennte Datenbanken mit getrennten Zugängen; aus der Entwicklungsumgebung besteht kein Zugriff auf Produktionsdaten.
• Sicherheitsprotokoll: Anmeldungen, Zugangsänderungen und Freigaben werden 12 Monate protokolliert.

6. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz der nachstehenden Unterauftragsverarbeiter zu. Änderungen kündigt die Auftragsverarbeiterin mindestens vier Wochen vorher in Textform an; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen und in diesem Fall außerordentlich kündigen.

• IONOS SE, Montabaur — Server, Datenbank und Dokumentenspeicher (Frankfurt am Main).
• Mistral AI SAS, Paris — Auslesen von Feldern aus Dokumenten, Antworten der Trade-Expertin Mondo (KI), Zweitmeinungen zu Befunden (EU-Endpunkt, kein Training mit Kundendaten, Aufbewahrung der Anfragen bis zu 30 Tage zur Missbrauchserkennung).
• Sendinblue GmbH / Brevo, Berlin — Versand von E-Mails und Empfang von E-Mails mit Dokumenten an die Eingangsadressen.

Die Verträge nach Art. 28 Abs. 4 DSGVO mit diesen Unterauftragsverarbeitern sind Bestandteil ihrer Geschäftsbedingungen. Die Zahlungsabwicklung durch die Mollie B.V., Amsterdam, ist keine Unterauftragsverarbeitung: Mollie verarbeitet die Abrechnungsdaten des Kunden als eigenständig Verantwortliche und erhält keine Dokumente oder Vorgangsdaten.

7. Unterstützung des Kunden

Die Auftragsverarbeiterin unterstützt den Kunden bei der Beantwortung von Betroffenenanfragen (Art. 12–23), bei der Sicherheit der Verarbeitung (Art. 32), bei Meldungen von Datenschutzverletzungen (Art. 33, 34) und bei Datenschutz-Folgenabschätzungen (Art. 35, 36). Eine ihr bekannt gewordene Verletzung des Schutzes personenbezogener Daten meldet sie dem Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.

8. Löschung und Rückgabe

Nach Ende des Nutzungsvertrags kann der Kunde seine Daten 30 Tage lang über die Plattform exportieren. Danach werden sie vollständig gelöscht. Löscht der Kunde einen Vorgang, liegt dieser 30 Tage im Papierkorb und wird danach mit allen Dokumenten gelöscht. Die gesetzliche Aufbewahrung seiner Unterlagen (§ 147 AO, § 257 HGB) obliegt dem Kunden.

9. Nachweise und Kontrollen

Die Auftragsverarbeiterin stellt dem Kunden auf Anfrage die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung. Kontrollen vor Ort sind nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs möglich; der Kunde trägt seine Kosten.

10. Drittlandbezug

Alle Unterauftragsverarbeiter haben ihren Sitz in der Europäischen Union; die Verarbeitung findet dort statt. Setzt ein Unterauftragsverarbeiter seinerseits Dienstleister außerhalb der EU ein, geschieht das nur auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln der Europäischen Kommission — siehe Abschnitt 6 der Datenschutzerklärung.

Fragen zu diesem Vertrag oder Wunsch nach einer unterzeichneten Ausfertigung: info@trade-mondo.com.