Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung zur Auftragsverarbeitung („AVV“) wird zwischen dem im Validor-Konto oder in der Bestellung bezeichneten Kunden als Verantwortlichem („Kunde“) und der Just Platforms GmbH, Bahnhofstraße 8, 94032 Passau, Deutschland, als Auftragsverarbeiter („Validor“) geschlossen.

Die AVV wird Bestandteil des Hauptvertrags, sobald der Kunde Validor beauftragt und Validor dabei personenbezogene Daten im Auftrag des Kunden verarbeitet. Sie gilt vorrangig vor abweichenden Datenschutzregelungen des Hauptvertrags, soweit nicht ausdrücklich etwas anderes vereinbart wurde.

Gegenstand ist die Bereitstellung der cloudbasierten Validor-Plattform für Upload, Speicherung, Bereitstellung, Signatur, Versand, Nachweis und Prüfung elektronischer Dokumente. Die Verarbeitung umfasst insbesondere Erheben, Erfassen, Organisieren, Speichern, Auslesen, Verwenden, Übermitteln, Bereitstellen, Abgleichen, Einschränken und Löschen nach dokumentierter Weisung des Kunden.

Die Verarbeitung beginnt mit Wirksamwerden des Hauptvertrags und endet mit dessen Beendigung und der vertragsgemäßen Löschung oder Rückgabe der Auftragsdaten, soweit keine gesetzliche Aufbewahrungspflicht oder eine zulässige weitere Verarbeitung besteht.

Verarbeitet werden können Dokumentinhalte und -metadaten, Namen, E-Mail-Adressen, Signaturpositionen, Einladungs- und Statusdaten, Zeitstempel, Passkey- und Verifikationsnachweise, Zertifikatsdaten, Browser- und Plattformangaben sowie Kommunikations- und Auditdaten.

Betroffene Personen sind insbesondere Beschäftigte, Organe, Kunden, Lieferanten, Vertragspartner und sonstige vom Kunden benannte Signierende oder Personen, deren Daten in hochgeladenen Dokumenten enthalten sind. Inhalt und Kategorien der Dokumentdaten bestimmt allein der Kunde. Sollen besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO verarbeitet werden, prüft der Kunde vorab die Zulässigkeit und Angemessenheit der Nutzung von Validor.

Validor verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Kunden. Die Nutzung der Produktfunktionen, Kontoeinstellungen und Supportanfragen gelten als dokumentierte Weisungen. Zusätzliche Weisungen können in Textform an info@justplatforms.de erteilt werden.

Hält Validor eine Weisung für datenschutzrechtswidrig, informiert Validor den Kunden unverzüglich und darf deren Ausführung bis zur Klärung aussetzen. Gesetzlich verpflichtende Verarbeitungen bleiben unberührt; Validor informiert den Kunden hierüber vorab, soweit dies rechtlich zulässig ist.

Validor stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind, setzt geeignete technische und organisatorische Maßnahmen ein und unterstützt den Kunden im angemessenen Umfang bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Konsultationen von Aufsichtsbehörden sowie der Erfüllung der Pflichten aus Art. 32 bis 36 DSGVO.

Anfragen betroffener Personen zu Auftragsdaten leitet Validor an den Kunden weiter, sofern keine direkte Weisung zur Bearbeitung vorliegt. Validor berichtigt, sperrt, exportiert oder löscht Auftragsdaten nach Weisung und im Rahmen der technisch verfügbaren Produkt- und Supportprozesse.

Validor setzt insbesondere folgende Maßnahmen ein:

• verschlüsselte Übertragung per TLS und Verschlüsselung der eingesetzten Azure-Speicherdienste,
• passkey-basierte Authentifizierung, E-Mail-Bestätigung und rollen- sowie eigentümerbezogene Zugriffskontrollen,
• Managed Identities, rollenbasierte Azure-Berechtigungen und Schlüssel- beziehungsweise Zertifikatsverwaltung über Azure Key Vault,
• nicht öffentlich zugängliche Dokument-Container und zeitlich beziehungsweise zweckgebundene Zugriffstokens,
• Protokollierung sicherheits- und signaturrelevanter Ereignisse, Integritätsprüfung und versiegelte Signaturnachweise,
• Datensicherung, Wiederherstellungsfunktionen, Schwachstellenprüfungen und kontrollierte Softwarebereitstellung,
• Trennung von Produktionszugängen und Beschränkung administrativer Berechtigungen nach dem Erforderlichkeitsprinzip.

Validor darf die Maßnahmen entsprechend dem technischen Fortschritt weiterentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

Der Kunde erteilt Validor eine allgemeine Genehmigung zum Einsatz der nachfolgend aufgeführten Unterauftragsverarbeiter. Validor verpflichtet diese im erforderlichen Umfang nach Art. 28 Abs. 4 DSGVO.

Beabsichtigte Ergänzungen oder Ersetzungen veröffentlicht Validor auf dieser Seite und teilt sie dem Kunden grundsätzlich mindestens 14 Tage vor Einsatz in Textform mit. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Können die Parteien keine zumutbare Lösung finden, darf jede Partei die betroffene Leistung kündigen.

Zahlungsdienste wie Stripe verarbeiten Abrechnungsdaten für eigene gesetzliche und zahlungsbezogene Zwecke und sind insoweit nicht Unterauftragsverarbeiter für die vom Kunden über Validor bereitgestellten Dokumentinhalte.

Validor stellt dem Kunden die zur Prüfung der Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung. Der Kunde darf nach angemessener Vorankündigung und grundsätzlich einmal jährlich eine Prüfung selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen, soweit gleichwertige Nachweise nicht ausreichen und Betriebsabläufe sowie Rechte anderer Kunden geschützt bleiben.

Anlassbezogene Prüfungen nach Sicherheitsvorfällen oder auf Verlangen einer Aufsichtsbehörde bleiben unberührt. Einen unverhältnismäßigen Zusatzaufwand darf Validor nach vorheriger Abstimmung zu angemessenen Konditionen berechnen.