gemäß Art. 28 DSGVO – Ensight DMS
Verantwortlicher (nachfolgend „Auftraggeber"):
Der Kunde, dessen Daten im Rahmen des Ensight-Abonnements verarbeitet werden.
Auftragsverarbeiter (nachfolgend „Auftragnehmer"):
Entropy Software & Consulting, Bastian Entrup, Mühlenstieg 19, 37181 Hardegsen
(1) Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung und des Betriebs der Software Ensight DMS — einem digitalen Dokumentenmanagementsystem zur automatisierten Erfassung, Analyse, Archivierung und Suche von Geschäftsdokumenten (insbesondere Eingangsrechnungen und Belegen).
(2) Die Verarbeitung beginnt mit Abschluss des Hauptvertrags und endet mit dessen Beendigung, soweit dieser AVV keine abweichenden Regelungen enthält.
Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zum Zweck der Erbringung der vertraglich vereinbarten Leistungen:
Eine Verarbeitung zu anderen als den genannten Zwecken ist unzulässig.
| Kategorie | Beispiele |
|---|---|
| Kontakt- und Identifikationsdaten | Name, Firma, Anschrift von Lieferanten, Kunden |
| Finanzdaten | Rechnungsbeträge, Steuernummern, IBAN, Zahlungsreferenzen |
| Kommunikationsdaten | E-Mail-Adresse (bei E-Mail-Import), Betreffzeilen |
| Vertragsdaten | Bestellnummern, Kundennummern, Leistungsbeschreibungen |
| Metadaten | Upload-Zeitstempel, Datei-Hashwerte, Versionsinformationen |
Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO werden grundsätzlich nicht verarbeitet. Sollten solche Daten ausnahmsweise in übermittelten Dokumenten enthalten sein, liegt die Verantwortung für die Rechtsgrundlage beim Auftraggeber.
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zu einer anderweitigen Verarbeitung verpflichtet.
(2) Weisungen werden in der Regel durch den Hauptvertrag, dessen Anhänge sowie schriftlich oder in Textform (E-Mail) erteilt.
(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen die DSGVO verstößt, informiert er den Auftraggeber unverzüglich und ist berechtigt, die Ausführung bis zur Klärung auszusetzen.
(4) Mündliche Weisungen werden unverzüglich schriftlich bestätigt.
(1) Der Auftragnehmer stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
(2) Der Auftragnehmer schult die eingesetzten Mitarbeiter regelmäßig zu datenschutz- und informationssicherheitsrelevanten Themen.
Der Auftragnehmer trifft folgende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Wesentliche Änderungen werden dem Auftraggeber vorab mitgeteilt.
tenant-<slug>), das ausschließlich die Dienste dieses Mandanten verbindetrestart: unless-stopped; Systemd-Unit für automatischen Start nach Serverneustartdocker compose logs(1) Der Auftragnehmer setzt folgende Unterauftragsverarbeiter ein, denen der Auftraggeber durch Abschluss dieses AVV allgemein zustimmt:
| # | Unternehmen | Sitz | Verarbeitungsort | Zweck |
|---|---|---|---|---|
| 1 | Hetzner Online GmbH | Gunzenhausen, Deutschland | Deutschland (Nürnberg / Falkenstein) | Server-Infrastruktur, Hosting, Backup-Speicher |
| 2 | Anthropic, Inc. | San Francisco, USA | USA ¹ | KI-Extraktion von Dokumenteninhalten via Claude API |
¹ Drittlandübermittlung Anthropic: Die Übermittlung in die USA stützt sich auf EU-Standardvertragsklauseln (SCCs) gemäß Durchführungsbeschluss (EU) 2021/914. Anthropic verwendet übermittelte Dokumenteninhalte nicht für das Training von KI-Modellen (gemäß Anthropics API-Nutzungsbedingungen).
(2) Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen bei Unterauftragsverarbeitern mindestens 30 Tage im Voraus. Der Auftraggeber kann Änderungen aus wichtigem, dokumentiertem Grund ablehnen.
(3) Der Auftragnehmer legt Unterauftragsverarbeitern dieselben Datenschutzpflichten auf, die zwischen den Parteien vereinbart sind.
(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten nach Art. 32–36 DSGVO durch geeignete technische und organisatorische Maßnahmen, soweit möglich.
(2) Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch).
(3) Für Unterstützungsleistungen, die über den vertraglich vereinbarten Umfang hinausgehen, kann der Auftragnehmer eine angemessene Vergütung verlangen.
(1) Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden.
(2) Die Meldung enthält mindestens: Art der Verletzung, betroffene Kategorien und Anzahl von Personen und Datensätzen, wahrscheinliche Folgen sowie ergriffene Abhilfemaßnahmen.
(3) Die Meldung erfolgt an den vom Auftraggeber benannten Ansprechpartner per E-Mail.
(1) Nach Beendigung des Hauptvertrags löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers. Die Löschung umfasst: PostgreSQL-Datenbank, MinIO-Bucket, OpenSearch-Index sowie Backups nach Ablauf der 90-tägigen Aufbewahrungsfrist.
(2) Der Auftragnehmer bestätigt die Löschung schriftlich innerhalb von 30 Tagen nach Vertragsende auf Wunsch des Auftraggebers.
(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO festgelegten Pflichten zur Verfügung.
(2) Der Auftragnehmer ermöglicht Audits mit einer Ankündigungsfrist von mindestens 14 Tagen. Audits dürfen den laufenden Betrieb nicht unverhältnismäßig beeinträchtigen und sind auf datenschutzrelevante Aspekte beschränkt.
(3) Der Auftragnehmer kann anstelle eines Vor-Ort-Audits gleichwertige Nachweise (z.B. Zertifizierungen nach ISO 27001 oder SOC 2) vorlegen.
Für die Haftung zwischen den Parteien gelten die Regelungen des Hauptvertrags (AGB) sowie die gesetzlichen Vorschriften der DSGVO, insbesondere Art. 82 DSGVO.
(1) Dieser AVV ist Bestandteil des Hauptvertrags und folgt dessen Schicksal. Bei Kollisionen zwischen AVV und AGB geht der AVV vor.
(2) Änderungen bedürfen der Textform. Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragnehmers.
Entropy Software & Consulting · Bastian Entrup · Mühlenstieg 19 · 37181 Hardegsen
E-Mail: info@entropy-zero.de
Stand: Mai 2026