Vertrag zur Auftragsverarbeitung

1. Verantwortlicher ist der Kunde des Dienstes „formkorrekt“ („Kunde“). Auftragsverarbeiter ist David Lukac, Semmelweisstr. 4b, 86156 Augsburg („Anbieter“).
2. Gegenstand ist die Verarbeitung personenbezogener Daten, die in den vom Kunden an die API übermittelten Inhalten enthalten sind, zur Erbringung des in den AGB beschriebenen Dienstes. Art und Zweck der Verarbeitung, Datenarten und betroffene Personen sind in Anlage 1 beschrieben.
3. Dieser Vertrag wird mit der Registrierung des Kunden in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO) und gilt für die Dauer des Nutzungsvertrags.

1. Der Anbieter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden. Die Weisung besteht in diesem Vertrag, den AGB und den einzelnen API-Anfragen des Kunden; jede Anfrage ist die Weisung, den übermittelten Inhalt gemäß der API-Referenz zu verarbeiten und das Ergebnis an den Kunden zurückzugeben.
2. Weitergehende Weisungen erteilt der Kunde in Textform an die in § 1 genannte Adresse. Der Anbieter informiert den Kunden unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt; er darf die Ausführung bis zur Bestätigung aussetzen.
3. Eine Verarbeitung zu eigenen Zwecken des Anbieters findet nicht statt. Insbesondere werden Inhalte nicht zum Trainieren von Modellen, zu Analysezwecken oder zur Produktverbesserung verwendet.

1. Vertraulichkeit. Der Anbieter verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO). Auf Inhalte des Kunden greift bei ordnungsgemäßem Betrieb keine Person zu; sie werden ausschließlich automatisiert verarbeitet.
2. Sicherheit. Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, wie in Anlage 2 beschrieben. Er darf die Maßnahmen weiterentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.
3. Unterstützung. Der Anbieter unterstützt den Kunden mit den ihm zur Verfügung stehenden Informationen bei der Erfüllung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation) und bei der Beantwortung von Anträgen betroffener Personen. Da Inhalte nicht gespeichert werden, kann der Anbieter Auskunfts-, Berichtigungs- oder Löschanträge zu Inhalten nicht ausführen; er teilt dies dem Kunden auf Anfrage mit.
4. Verletzungen. Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, ohne unangemessene Verzögerung nach Kenntnis an die im Konto hinterlegte E-Mail-Adresse, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.
5. Löschung. Übermittelte Inhalte und Ergebnisse werden nur während der Bearbeitung der jeweiligen Anfrage im Arbeitsspeicher gehalten und mit deren Abschluss verworfen. Kontodaten und Abrechnungsmetadaten werden nach Ende des Nutzungsvertrags innerhalb von 30 Tagen gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Eine Rückgabe von Inhalten ist mangels Speicherung nicht möglich und nicht erforderlich.
6. Nachweise und Kontrollen. Der Anbieter stellt dem Kunden auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung (insbesondere diese Vereinbarung, Anlage 2 und Nachweise des Rechenzentrumsbetreibers). Überprüfungen vor Ort sind nach Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten möglich, sofern die Auskünfte nicht ausreichen; sie dürfen den Betrieb nicht unangemessen beeinträchtigen. Der Kunde trägt seine eigenen Kosten.
7. Ort der Verarbeitung. Die Verarbeitung findet ausschließlich in Rechenzentren in Deutschland statt. Eine Übermittlung in Drittländer erfolgt nicht.

1. Der Kunde genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter. Mit ihnen bestehen Verträge nach Art. 28 Abs. 4 DSGVO, die ihnen dieselben Datenschutzpflichten auferlegen wie diesem Anbieter.
2. Der Anbieter informiert den Kunden mindestens vier Wochen vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters per E-Mail. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Kunde den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.
3. Der Zahlungsdienstleister (Stripe) verarbeitet Kontakt- und Zahlungsdaten des Kunden in eigener Verantwortung und erhält keine API-Inhalte; er ist kein Unterauftragsverarbeiter im Sinne dieses Vertrags.

1. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, die Information der betroffenen Personen und die Beurteilung, ob die übermittelten Inhalte für den Dienst geeignet sind.
2. Der Kunde übermittelt keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO), soweit dies nicht für den Zweck erforderlich ist; er trifft in diesem Fall die ihm obliegenden zusätzlichen Schutzmaßnahmen.
3. Der Kunde hält seine im Konto hinterlegte E-Mail-Adresse aktuell, damit Meldungen nach § 3 Nr. 4 ihn erreichen.

1. Dieser Paragraph gilt, soweit der Kunde Berufsgeheimnisträger ist, insbesondere Steuerberater oder Steuerberatungsgesellschaft, und dem Anbieter bei der Erbringung des Dienstes fremde Geheimnisse im Sinne des § 203 StGB zugänglich werden können. Er ergänzt § 3 Nr. 1 und dient der Erfüllung der Anforderungen des § 62a StBerG.
2. Der Anbieter verpflichtet sich zur Verschwiegenheit über alle Tatsachen, die ihm bei der Erbringung des Dienstes über den Kunden und dessen Mandanten bekannt werden. Die Verpflichtung gilt über das Ende des Vertrags hinaus.
3. Der Anbieter nimmt von fremden Geheimnissen nur insoweit Kenntnis, als dies zur Erbringung des Dienstes erforderlich ist. Inhalte werden ausschließlich automatisiert verarbeitet und nicht gespeichert (§ 3 Nr. 1 und Nr. 5).
4. Der Anbieter ist darüber belehrt, dass er sich nach § 203 Abs. 4 StGB strafbar machen kann, wenn er ein fremdes Geheimnis, das ihm bei der Erbringung des Dienstes bekannt geworden ist, unbefugt offenbart. Er verpflichtet die bei ihm mit der Erbringung des Dienstes befassten Personen in Textform zur Verschwiegenheit und belehrt sie über diese Strafbarkeit.
5. Der Anbieter setzt Unterauftragnehmer (Anlage 3) nur ein, wenn diese ihrerseits zur Verschwiegenheit verpflichtet sind; eine Kenntnisnahme der Inhalte durch den Hosting-Anbieter findet im Regelbetrieb nicht statt.
6. Der Kunde kann diesen Vertrag jederzeit unter /avv abrufen und als Datei speichern; auf Wunsch übermittelt der Anbieter ihn als PDF.

1. Für die Haftung gilt Art. 82 DSGVO; im Innenverhältnis der Parteien gilt § 11 der AGB.
2. Im Fall eines Widerspruchs zwischen diesem Vertrag und den AGB geht dieser Vertrag in datenschutzrechtlichen Fragen vor.
3. Es gilt deutsches Recht; Gerichtsstand ist Augsburg (§ 13 AGB).

Keine weiteren Unterauftragsverarbeiter. Stripe Payments Europe Ltd. (Dublin, Irland) verarbeitet Zahlungsdaten als eigener Verantwortlicher und erhält keine API-Inhalte.