Vereinbarung zur Auftragsverarbeitung (AVV)
gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)
SPYDER nutzt durchgängige Client-Side-Encryption. Alle Daten werden lokal vor der Übertragung verschlüsselt. Der Auftragsverarbeiter besitzt zu keinem Zeitpunkt Einsicht in Mandatsdaten, Klarnamen oder kryptografische Schlüssel.
Vertragspartner
Verantwortlicher: Der jeweilige gewerbliche Kunde, die Kanzlei oder Organisation (nachfolgend „Verantwortlicher“)
Auftragsverarbeiter:
Sebastian Lesaar (SPYDER)
c/o Online-Impressum 475
Europaring 90
53757 Sankt Augustin
Deutschland
1. Gegenstand und Dauer der Verarbeitung
1. Gegenstand: Gegenstand der Verarbeitung ist die Bereitstellung des sicheren, verschlüsselten Cloud-Speichers „SPYDER“ für den Verantwortlichen (insbesondere zur Speicherung von Mandantendaten).
2. Art der Daten: Personenbezogene Daten von Mandanten, Mitarbeitern und Geschäftspartnern des Verantwortlichen (inklusive potenzieller Berufsgeheimnisträgerdaten nach § 203 StGB).
3. Kategorien betroffener Personen: Mandanten, Beschäftigte und Geschäftspartner des Verantwortlichen.
4. Dauer: Die Laufzeit dieser Vereinbarung richtet sich nach der Laufzeit des Hauptvertrags über die Nutzung von SPYDER.
2. Weisungsbefugnis
1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der dokumentierten Weisungen des Verantwortlichen, es sei denn, es liegt eine gesetzliche Verpflichtung zur Verarbeitung vor.
2. Weisungen werden primär durch die Konfiguration und Nutzung der Software durch den Verantwortlichen erteilt.
3. Technische und organisatorische Maßnahmen (TOM) & Zero-Knowledge
1. Der Auftragsverarbeiter garantiert die Umsetzung geeigneter technischer und organisatorischer Maßnahmen gemäß Art. 32 DSGVO.
2. Architektur: SPYDER verwendet eine Zero-Knowledge-Architektur (Client-Side-Encryption). Die Daten werden bereits auf dem Endgerät des Verantwortlichen verschlüsselt, bevor sie in die Cloud übertragen werden. Der Auftragsverarbeiter hat zu keinem Zeitpunkt Zugriff auf die Klartextdaten oder die Verschlüsselungsschlüssel des Verantwortlichen.
4. Unterauftragnehmer (Sub-Processor)
1. Der Einsatz von Subunternehmern ist gestattet. Der Verantwortliche erteilt hiermit die Genehmigung für den folgenden bestehenden Unterauftragnehmer:
- Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) als Hosting-Dienstleister / Rechenzentrum (Standort: Deutschland, ISO 27001 zertifiziert).
2. Der Auftragsverarbeiter verpflichtet den Unterauftragnehmer vertraglich auf dasselbe Datenschutzniveau.
5. Berufsgeheimnis (§ 203 StGB)
1. Soweit der Verantwortliche dem Schutz des § 203 StGB unterliegt, stellt der Auftragsverarbeiter sicher, dass alle Personen, die mit der technischen Abwicklung betraut sind, zur Verschwiegenheit verpflichtet wurden. Durch die Zero-Knowledge-Architektur ist technisch ausgeschlossen, dass Einsicht in geheimhaltungsbedürftige Inhalte genommen wird.
6. Schlussbestimmungen
Diese Vereinbarung wird im Rahmen des elektronischen Registrierungsprozesses durch Bestätigung (Checkbox) digital abgeschlossen. Ein beidseitiger handschriftlicher oder formeller Unterschriftsakt ist für die Gültigkeit gemäß Art. 28 Abs. 9 DSGVO nicht erforderlich.