Auftragsverarbeitungsvertrag

Version 1.6. Zuletzt aktualisiert: 24. Oktober 2026. Kontakt bei Contracko: [email protected].

Dieser AVV wurde in englischer Sprache verfasst. Stellt Contracko eine Übersetzung bereit, ist im Falle von Widersprüchen oder Unstimmigkeiten die englische Fassung maßgeblich, außer soweit die Standardvertragsklauseln etwas anderes verlangen.

1. Parteien, Rollen und Verhältnis zum Hauptvertrag

Dieser Auftragsverarbeitungsvertrag ("AVV") ist Bestandteil der Vereinbarung zwischen dem Kunden ("Verantwortlicher" oder "Kunde") und Velocity Ventures B.V., Mauritskade 9, 2514 HD Den Haag, Niederlande (KvK 87321432) ("Auftragsverarbeiter" oder "Contracko") und wird in diese einbezogen; auf deren Grundlage stellt Contracko den Contracko-Dienst ("Dienst") bereit, namentlich das Common Paper Cloud Service Agreement (Standard Terms v2.1) in der vom Kunden angenommenen Fassung oder wie in einem unterzeichneten Deckblatt (Cover Page) festgelegt (die "Vereinbarung").

Für personenbezogene Daten, die Contracko im Auftrag des Kunden bei der Bereitstellung des Dienstes verarbeitet, ist der Kunde der Verantwortliche und Contracko der Auftragsverarbeiter. Soweit Contracko Daten für eigene Zwecke verarbeitet (zum Beispiel Kontoverwaltung, Abrechnung und Sicherheit), handelt Contracko für diese begrenzte Verarbeitung als eigenständiger Verantwortlicher; hierfür gilt die Datenschutzerklärung von Contracko.

Im Falle von Widersprüchen gilt folgende Rangfolge: (1) die Standardvertragsklauseln in Anhang 3 (soweit sie auf eine eingeschränkte Übermittlung anwendbar sind), (2) dieser AVV, (3) die Vereinbarung.

2. Begriffsbestimmungen

"personenbezogene Daten", "Verarbeitung", "betroffene Person", "Verantwortlicher", "Auftragsverarbeiter", "Unterauftragsverarbeiter" und "Aufsichtsbehörde" haben die Bedeutung, die ihnen in der EU-Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, "DSGVO") zugewiesen wird. "Anwendbares Datenschutzrecht" bezeichnet die DSGVO zusammen mit dem niederländischen Umsetzungsgesetz (UAVG) sowie, soweit anwendbar, die UK GDPR und das schweizerische DSG. "Eingeschränkte Übermittlung" bezeichnet eine Übermittlung personenbezogener Daten in ein Land außerhalb des EWR, das nicht von einem Angemessenheitsbeschluss erfasst ist.

3. Gegenstand, Dauer, Art und Zweck (Art. 28 Abs. 3)

• Gegenstand: Verarbeitung personenbezogener Daten, die in den Verträgen, Dokumenten und Kontodaten enthalten sind oder mit ihnen zusammenhängen, die der Kunde an den Dienst übermittelt.
• Dauer: die Laufzeit der Vereinbarung zuzüglich des Lösch-/Rückgabezeitraums nach Abschnitt 11.
• Art und Zweck: Speicherung, Organisation, Parsing, KI-gestützte Analyse und Extraktion, Abruf, elektronische Signatur und Verwaltung der Vertragsdaten des Kunden, ausschließlich zur Bereitstellung des Dienstes.
• Die vollständigen Verarbeitungsangaben sind in Anhang 1 aufgeführt.

4. Arten personenbezogener Daten und Kategorien betroffener Personen

• Arten (beispielhaft, vom Kunden bestimmt): Namen, Kontaktdaten, Unterschriften, finanzielle und kommerzielle Konditionen, beschäftigungsbezogene Angaben sowie alle sonstigen personenbezogenen Daten, die der Kunde in hochgeladene Dokumente und Kontodaten aufnimmt.
• Kategorien betroffener Personen: Beschäftigte, Kunden, Lieferanten, Vertragspartner des Kunden und sonstige in den Dokumenten des Kunden genannte Personen.

Der Kunde ist dafür verantwortlich sicherzustellen, dass er über eine Rechtsgrundlage verfügt für die von ihm übermittelten personenbezogenen Daten und für die von ihm erteilten Weisungen. Der Kunde darf keine Daten besonderer Kategorien übermitteln, außer soweit diese beiläufig im Vertragsinhalt enthalten sind, und ist für alle derartigen Daten verantwortlich, die er zu übermitteln wählt.

5. Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 lit. a–h)

Contracko wird:

1. personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden verarbeiten (auch im Hinblick auf Übermittlungen); diese bestehen aus diesem AVV, der Vereinbarung und der vom Kunden konfigurierten Nutzung des Dienstes, es sei denn, eine gesetzliche Verpflichtung besteht, in welchem Fall Contracko den Kunden zuvor informiert, sofern das Gesetz dies nicht verbietet;
2. sicherstellen, dass die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet sind;
3. die technischen und organisatorischen Maßnahmen in Anhang 2 (TOM) umsetzen (Art. 32);
4. die Bedingungen in Abschnitt 6 für die Beauftragung von Unterauftragsverarbeitern einhalten;
5. den Kunden durch geeignete technische und organisatorische Maßnahmen und soweit möglich bei Anträgen betroffener Personen unterstützen (Abschnitt 7);
6. den Kunden unterstützen bei der Sicherheit, der Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzungen und der vorherigen Konsultation (Abschnitte 8–9), unter Berücksichtigung der Art der Verarbeitung und der Contracko zur Verfügung stehenden Informationen;
7. nach Wahl des Kunden personenbezogene Daten am Ende des Dienstes löschen oder zurückgeben (Abschnitt 11);
8. die Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung erforderlich sind, und Überprüfungen ermöglichen (Abschnitt 10); und
9. die personenbezogenen Daten des Kunden nicht zum Training von KI-Modellen verwenden und KI-Unterauftragsverarbeiter nur zu Bedingungen beauftragen, die ein Training mit Kundendaten ausschließen und, soweit angeboten, keine Datenspeicherung (Zero Data Retention) vorsehen.

Rechtswidrige Weisungen. Contracko wird den Kunden ohne unangemessene Verzögerung informieren, wenn eine Weisung nach Auffassung von Contracko gegen anwendbares Datenschutzrecht verstößt. Der Kunde hat dann einen angemessenen Zeitraum (mindestens 30 Tage), um eine überarbeitete, rechtmäßige Weisung zu erteilen. Bis zur Klärung kann Contracko die betroffene Verarbeitung aussetzen, und erteilt der Kunde innerhalb dieses Zeitraums keine rechtmäßige Weisung, kann Contracko den betroffenen Teil des Dienstes ohne Haftung beenden.

6. Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4)

Allgemeine Genehmigung. Der Kunde erteilt die allgemeine schriftliche Genehmigung, dass Contracko Unterauftragsverarbeiter mit der Verarbeitung personenbezogener Daten bei der Bereitstellung des Dienstes beauftragt, und zwar in Kategorien einschließlich Hosting und Speicherung, Datenbank, KI-gestützter Analyse, elektronischer Signatur, E-Mail-Zustellung, Analyse, Zahlungen sowie interne Abläufe und Alarmierung. Die aktuelle, namentlich benannte Liste der Unterauftragsverarbeiter ist in Anhang 1 aufgeführt.

Mitteilung von Änderungen. Contracko führt eine aktuelle, namentlich benannte Liste der Unterauftragsverarbeiter. Mindestens vierzehn (14) Tage bevor ein neuer Unterauftragsverarbeiter zur Verarbeitung personenbezogener Daten ermächtigt wird, aktualisiert Contracko die Liste und benachrichtigt den Kunden aktiv per E-Mail.

Widerspruch. Der Kunde kann einem neuen Unterauftragsverarbeiter aus angemessenen, den Datenschutz betreffenden Gründen durch schriftliche Mitteilung innerhalb von sieben (7) Tagen nach der Benachrichtigung widersprechen. Widerspricht der Kunde nicht innerhalb dieses Zeitraums, gilt der Unterauftragsverarbeiter als angenommen. Der neue Unterauftragsverarbeiter wird die personenbezogenen Daten des Kunden nicht verarbeiten, bevor die Frist von vierzehn (14) Tagen abgelaufen ist. Widerspricht der Kunde und kann Contracko innerhalb einer angemessenen Frist keine wirtschaftlich zumutbare Alternative bereitstellen, ist das einzige Rechtsmittel des Kunden die Beendigung des betroffenen Teils des Dienstes mit angemessener vorheriger schriftlicher Mitteilung.

Weitergabe von Pflichten und Haftung. Contracko erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag Datenschutzpflichten auf, die nicht weniger schützend sind als die in diesem AVV (insbesondere Maßnahmen nach Art. 32), und haftet dem Kunden gegenüber weiterhin uneingeschränkt für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters.

7. Rechte betroffener Personen (Art. 28 Abs. 3 lit. e)

Unter Berücksichtigung der Art der Verarbeitung unterstützt Contracko den Kunden durch geeignete technische und organisatorische Maßnahmen, soweit möglich, bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Ausübung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch), einschließlich über die Selbstbedienungsfunktionen des Dienstes für Export und Löschung. Wendet sich eine betroffene Person unmittelbar an Contracko, verweist Contracko sie an den Kunden.

8. Verletzung des Schutzes personenbezogener Daten (Art. 33)

Contracko benachrichtigt den Kunden ohne unangemessene Verzögerung, nachdem Contracko von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die die personenbezogenen Daten des Kunden betrifft, und stellt die vernünftigerweise verfügbaren Informationen bereit, um den Kunden bei dessen eigenen Meldepflichten zu unterstützen, einschließlich, soweit verfügbar, der Art der Verletzung, der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Maßnahmen. Können die Informationen nicht auf einmal bereitgestellt werden, dürfen sie schrittweise ohne weitere unangemessene Verzögerung mitgeteilt werden. Als Auftragsverarbeiter benachrichtigt Contracko weder die Aufsichtsbehörde noch die betroffenen Personen; diese Pflicht obliegt dem Kunden als Verantwortlichem.

9. Sicherheit, Datenschutz-Folgenabschätzungen und vorherige Konsultation (Art. 32, 35–36)

Contracko setzt die Maßnahmen in Anhang 2 um und erhält sie aufrecht, unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und des Risikos der Verarbeitung. Contracko gewährleistet nicht, dass diese Maßnahmen unter allen Umständen wirksam sind; im Einklang mit Art. 82 Abs. 2 DSGVO haftet Contracko nur, soweit der Schaden darauf beruht, dass Contracko den speziell Auftragsverarbeitern nach anwendbarem Datenschutzrecht auferlegten Pflichten oder den rechtmäßigen Weisungen des Kunden nicht nachgekommen ist. Contracko unterstützt den Kunden, unter Berücksichtigung der Art der Verarbeitung und der Contracko zur Verfügung stehenden Informationen, bei Datenschutz-Folgenabschätzungen und der vorherigen Konsultation der Aufsichtsbehörde, soweit erforderlich. Contracko kann für Unterstützung nach den Abschnitten 7 bis 9, die den gewöhnlichen Funktionsumfang des Dienstes wesentlich übersteigt, ein angemessenes Entgelt berechnen, außer wenn die Unterstützung aufgrund eines Verstoßes von Contracko gegen diesen AVV erforderlich wird.

10. Überprüfungen (Art. 28 Abs. 3 lit. h)

Contracko stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind. Contracko kann Prüfungsanfragen erfüllen, indem es seine verfügbaren Prüfberichte Dritter, Zertifizierungen oder Selbstbewertungen (etwa ISO 27001, SOC 2 oder CSA STAR, soweit Contracko über diese verfügt) sowie seine TOM bereitstellt, die der Kunde als Erfüllung des Prüfrechts akzeptiert, soweit sie dem Anliegen angemessen Rechnung tragen. Soweit diese vernünftigerweise nicht ausreichen, kann der Kunde (oder ein beauftragter, zur Vertraulichkeit verpflichteter Prüfer, der kein Wettbewerber von Contracko ist) eine Inspektion durchführen, höchstens einmal pro Jahr, mit einer Ankündigungsfrist von mindestens 30 Tagen durch vorherige schriftliche Mitteilung, während der Geschäftszeiten, ohne unangemessene Störung und auf Kosten des Kunden.

11. Rückgabe und Löschung (Art. 28 Abs. 3 lit. g)

Bei Beendigung des Dienstes wird Contracko nach Wahl des Kunden alle personenbezogenen Daten löschen oder zurückgeben und bestehende Kopien löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Contracko schließt die Löschung ohne unangemessene Verzögerung und in jedem Fall innerhalb von 90 Tagen nach der Beendigung oder nach einem verifizierten Löschungsantrag ab; verbleibende Kopien in Backups werden im normalen Backup-Zyklus bereinigt.

12. Internationale Datenübermittlungen (Kapitel V DSGVO)

Hosting und primäre Speicherung von Contracko befinden sich in der EU. Das Verhältnis zwischen Kunde und Contracko ist innergemeinschaftlich (EWR) und stellt für sich genommen keine eingeschränkte Übermittlung dar. Soweit die Bereitstellung des Dienstes eine Eingeschränkte Übermittlung an einen Unterauftragsverarbeiter außerhalb des EWR umfasst, erfolgt diese Übermittlung auf Grundlage eines geeigneten Übermittlungsmechanismus, angewandt in folgender Reihenfolge: (a) ein Angemessenheitsbeschluss oder, soweit der Empfänger zertifiziert ist, das EU-US Data Privacy Framework; andernfalls (b) die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission), Modul Drei für weitergehende Übermittlungen von Auftragsverarbeiter zu Unterauftragsverarbeiter (und Modul Zwei, soweit der Kunde Datenexporteur ist), zusammen mit dem UK International Data Transfer Addendum und den schweizerischen Anpassungen, soweit einschlägig, sowie etwaigen ergänzenden Maßnahmen, die nach einer Übermittlungs-Folgenabschätzung erforderlich sind. Der Standort jedes Unterauftragsverarbeiters ist in der Liste der Unterauftragsverarbeiter (Anhang 1) verzeichnet. Die Standardvertragsklauseln werden durch Verweis einbezogen und gehen, soweit sie anwendbar sind, diesem AVV vor (Anhang 3 hält die gewählten Module und die ausgefüllten Anlagen fest).

13. Haftung und anwendbares Recht

Die Haftung jeder Partei nach diesem AVV unterliegt den Haftungsbeschränkungen und -ausschlüssen der Vereinbarung (Common Paper CSA Standard Terms v2.1), die für diesen AVV gelten. Der Kunde stellt Contracko frei von Ansprüchen Dritter und Schäden, soweit diese auf rechtswidrigen Verarbeitungsweisungen des Kunden, rechtswidrigen Kundeninhalten oder einem Verstoß des Kunden gegen diesen AVV oder anwendbares Datenschutzrecht beruhen. Dieser AVV unterliegt dem Recht der Niederlande, und die Gerichte in Den Haag oder Amsterdam sind zuständig, im Einklang mit der Vereinbarung, unbeschadet zwingender Schutzrechte betroffener Personen und unbeschadet eines nach den Standardvertragsklauseln erforderlichen anwendbaren Rechts bzw. Gerichtsstands.

14. Sprache

Dieser AVV wurde in englischer Sprache verfasst. Stellt Contracko eine Übersetzung bereit, ist im Falle von Widersprüchen oder Unstimmigkeiten die englische Fassung maßgeblich, außer soweit die Standardvertragsklauseln etwas anderes verlangen.

Anhänge

• Anhang 1 - Verarbeitungsangaben und Liste der Unterauftragsverarbeiter: die Verarbeitungsangaben in den Abschnitten 3 und 4 zusammen mit der nachstehenden Liste der Unterauftragsverarbeiter.
• Anhang 2 - Technische und organisatorische Maßnahmen (TOM): die aktuellen technischen und organisatorischen Sicherheitsmaßnahmen von Contracko, die dem Kunden auf Anfrage zur Verfügung gestellt werden.
• Anhang 3 - Standardvertragsklauseln: soweit sich eine Eingeschränkte Übermittlung auf die Standardvertragsklauseln stützt, gelten die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission), mit den Modulen Zwei und Drei je nach Anwendbarkeit, wobei die zuständige Aufsichtsbehörde die Autoriteit Persoonsgegevens ist, soweit Contracko Datenexporteur ist (Modul Drei), und die zuständige Aufsichtsbehörde des Kunden, soweit der Kunde Datenexporteur ist (Modul Zwei), und wobei die Maßnahmen in Anhang 2 die Anlage der Standardvertragsklauseln zu den technischen und organisatorischen Maßnahmen ausfüllen.
• Anhang 4 - Offenlegung zu Sicherheit und Verarbeitung: eine strukturierte Offenlegung des Sicherheitsstandards, der Zertifizierungen, der Unterauftragsverarbeiter sowie der Aufbewahrungs- und Löschpraktiken von Contracko, die dem Kunden auf Anfrage zur Verfügung gestellt wird.

Anhang 1 - Liste der Unterauftragsverarbeiter

Die Unterauftragsverarbeiter, die Contracko mit der Verarbeitung personenbezogener Daten bei der Bereitstellung des Dienstes beauftragt. Änderungen werden gemäß Abschnitt 6 mitgeteilt. Unternehmensstandort ist der Ort, an dem die Einheit, mit der Contracko einen Vertrag schließt, ansässig ist.

Unterauftragsverarbeiter	Zweck	Unternehmensstandort	Hosting-Standort
Hetzner	Hosting	Deutschland (EU)	EU
UpCloud	Hosting	Finnland (EU)	EU
PlanetScale	Datenbank-Hosting	Vereinigte Staaten	EU
Cloudflare	Speicher- und Netzwerkdienste	Vereinigte Staaten	EU
Google	KI-Analyse	Irland (EU)	Vereinigte Staaten
Mistral AI	KI-Analyse	Frankreich (EU)	EU
OpenAI	KI-Analyse	Vereinigte Staaten	Vereinigte Staaten
TypeSafe	KI-Analyse	Vereinigte Staaten	Vereinigte Staaten
Inception	KI-Analyse	Vereinigte Staaten	Vereinigte Staaten
LlamaIndex	Dokumentenverarbeitung	Vereinigte Staaten	EU
DocuSeal	Elektronische Signaturen	Vereinigte Staaten	EU
Mailgun (Sinch)	E-Mail-Verarbeitung	Vereinigte Staaten	EU
Bento	E-Mail und Kundensupport	Australien	Australien
Stripe	Zahlungen	Irland (EU)	EU und Vereinigte Staaten
PostHog	Analyse	Vereinigte Staaten	EU
Slack	Interne Kommunikation	Irland (EU)	Vereinigte Staaten

Namensnennung

Dieser Auftragsverarbeitungsvertrag wurde von Velocity Ventures B.V. mit Änderungen aus dem Common Paper Data Processing Agreement übernommen, © Common Paper, lizenziert unter CC BY 4.0.