1. Vertragsparteien

Dieser Auftragsverarbeitungsvertrag wird geschlossen zwischen

Biga Software GmbH
Nestorstraße 14
10709 Berlin
Deutschland

nachfolgend Auftragsverarbeiter

und

dem jeweiligen Kunden von VaultDog

nachfolgend Verantwortlicher.

2. Gegenstand des Vertrags

Der Auftragsverarbeiter stellt mit VaultDog eine cloudbasierte Software zur sicheren Bereitstellung und Übertragung digitaler Dokumente zur Verfügung.

Soweit der Verantwortliche personenbezogene Daten mithilfe von VaultDog verarbeitet, erfolgt diese Verarbeitung ausschließlich im Auftrag und nach Weisung des Verantwortlichen.

3. Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des zwischen den Parteien bestehenden Nutzungsvertrages.

Nach Beendigung des Vertrags werden personenbezogene Daten entsprechend Ziffer 12 gelöscht oder zurückgegeben.

4. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst insbesondere:

Speicherung hochgeladener Dokumente
Bereitstellung geschützter Downloadlinks
Passwortschutz
Verwaltung von Ablaufzeiten
Begrenzung von Downloads
Protokollierung von Downloads
Bereitstellung der API
Hosting und Datensicherung
Fehleranalyse und Systemsicherheit

5. Art der personenbezogenen Daten

Je nach Nutzung können insbesondere folgende personenbezogene Daten verarbeitet werden:

Name
E-Mail-Adresse
Telefonnummer
Anschrift
Vertragsunterlagen
Rechnungen
Bewerbungsunterlagen
sonstige Dokumente, die der Verantwortliche hochlädt

Der Verantwortliche entscheidet selbst, welche Daten über VaultDog verarbeitet werden.

6. Kategorien betroffener Personen

Je nach Nutzung können insbesondere folgende Personengruppen betroffen sein:

Kunden
Interessenten
Mitarbeiter
Bewerber
Lieferanten
Geschäftspartner
sonstige natürliche Personen

7. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich.

Insbesondere obliegt ihm:

die Einhaltung der DSGVO,
die Erteilung erforderlicher Weisungen,
die Information der betroffenen Personen,
die Wahrnehmung der Betroffenenrechte.

8. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich,

personenbezogene Daten ausschließlich im Rahmen dieses Vertrags zu verarbeiten,
geeignete technische und organisatorische Maßnahmen umzusetzen,
seine Mitarbeiter auf Vertraulichkeit zu verpflichten,
den Verantwortlichen bei Datenschutzanfragen angemessen zu unterstützen,
Datenschutzverletzungen unverzüglich mitzuteilen,
personenbezogene Daten nicht für eigene Zwecke zu verwenden.

9. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten.

Hierzu gehören insbesondere:

verschlüsselte Datenübertragung (TLS)
sichere Passwortspeicherung
rollenbasierte Zugriffsberechtigungen
Authentifizierung der Benutzer
regelmäßige Sicherheitsupdates
Zugriffsbeschränkung auf Produktionssysteme
Protokollierung sicherheitsrelevanter Ereignisse
automatische Löschung abgelaufener Dokumente
regelmäßige Datensicherungen

Die Maßnahmen werden regelmäßig überprüft und bei Bedarf angepasst.

10. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

Unternehmen	Zweck
Hetzner Online GmbH	Hosting und Object Storage
Stripe Payments Europe Ltd.	Zahlungsabwicklung
Resend	Versand transaktionaler E-Mails

Der Auftragsverarbeiter informiert den Verantwortlichen über wesentliche Änderungen der Unterauftragsverarbeiter.

11. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen im angemessenen Umfang bei der Erfüllung gesetzlicher Verpflichtungen, insbesondere hinsichtlich

Auskunftsersuchen,
Berichtigung,
Löschung,
Einschränkung der Verarbeitung,
Datenübertragbarkeit,
Meldung von Datenschutzverletzungen.

12. Löschung und Rückgabe

Nach Beendigung des Vertrags löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten des Verantwortlichen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Der Verantwortliche kann vor der Löschung die Herausgabe seiner Daten verlangen, soweit dies technisch möglich ist.

13. Kontrollrechte

Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrags in angemessenem Umfang zu überprüfen.

Der Auftragsverarbeiter wird die hierfür erforderlichen Informationen bereitstellen, soweit dem keine gesetzlichen oder vertraglichen Geheimhaltungspflichten entgegenstehen.

14. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass alle mit der Verarbeitung personenbezogener Daten befassten Personen zur Vertraulichkeit verpflichtet sind.

15. Schlussbestimmungen

Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt deutsches Recht.

Anlage 1 – Technische und organisatorische Maßnahmen (TOM)

Vertraulichkeit

TLS-verschlüsselte Kommunikation
sichere Passwortspeicherung mittels Hashverfahren
rollenbasierte Zugriffssteuerung
Zugriff auf Produktivsysteme nur für autorisierte Mitarbeiter

Integrität

Protokollierung sicherheitsrelevanter Ereignisse
regelmäßige Sicherheitsupdates
Versionsverwaltung des Quellcodes

Verfügbarkeit

Hosting in professionellen Rechenzentren innerhalb der EU
regelmäßige Datensicherungen
Überwachung der Systeme

Belastbarkeit

Maßnahmen zum Schutz vor unbefugten Zugriffen
regelmäßige Aktualisierung der eingesetzten Software

Trennung

logische Trennung der Kundendaten innerhalb der Anwendung

Anlage 2 – Unterauftragsverarbeiter

Unternehmen	Zweck	Standort
Hetzner Online GmbH	Hosting und Object Storage	Deutschland
Stripe Payments Europe Ltd.	Zahlungsabwicklung	Irland
Resend	Versand transaktionaler E-Mails	EU-Region