Datenschutz für Firmen & AVV

Wann ist eine AVV / DPA erforderlich?

Der Verantwortliche bestimmt Zwecke und wesentliche Mittel der Verarbeitung personenbezogener Daten. Ein Dienstleister kann als Auftragsverarbeiter nach Weisung des Verantwortlichen tätig werden, beispielsweise wenn im Auftrag Ihres Unternehmens personenbezogene Informationen aus Rechnungen oder gescannten Unterlagen verarbeitet werden.

Für solche Konstellationen sieht Art. 28 DSGVO einen geeigneten Vertrag beziehungsweise eine andere bindende Rechtsgrundlage vor. Nicht jede Verarbeitung ist automatisch Auftragsverarbeitung: Für eigene Verwaltungs-, Sicherheits- und Kontaktzwecke kann Skavio selbst Verantwortlicher sein.

Die DokuTakt-Muster enthalten nur fiktive Angaben und veranlassen keine echte API-Verarbeitung. Der bloße Besuch dieser Domain ersetzt keinen DPA-Vertragsabschluss.

Wichtige Bestandteile eines Auftragsverarbeitungsvertrags

Vor produktiver Verarbeitung sollten die Parteien schriftlich vereinbaren, welche Daten, Aufgaben und Laufzeiten erfasst sind. Übliche notwendige Inhalte nach Art. 28 Abs. 3 DSGVO sind unter anderem:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Kategorien personenbezogener Daten und betroffener Personen.
• Verarbeitung ausschließlich auf dokumentierte Weisung des Kunden, vorbehaltlich gesetzlicher Pflichten.
• Vertraulichkeit der eingesetzten Personen und geeignete technische und organisatorische Sicherheitsmaßnahmen.
• Regeln für Unterauftragsverarbeiter sowie Mitteilung wesentlicher Änderungen.
• Unterstützung bei Betroffenenrechten, Meldung von Datenschutzverletzungen und angemessenen Nachweisen/Audits.
• Rückgabe beziehungsweise Löschung von Daten bei Vertragsende, soweit keine gesetzliche Aufbewahrungspflicht besteht.

Diese Punkte sind Anforderungen für einen späteren Vertrag und keine Erklärung, dass bereits für jeden Kunden eine unterschriebene AVV besteht.

Technische und organisatorische Maßnahmen

Für einen produktiven Einsatz sollten mindestens die tatsächlich eingesetzten Maßnahmen dokumentiert werden, insbesondere TLS beim Transport, Zugangskontrollen, getrennte Mandantenrechte, Auftrags- und Zugriffsprotokollierung, Wiederherstellbarkeit, Verschlüsselung wo eingesetzt sowie der Umgang mit Sicherheitsvorfällen. Konkrete Zusicherungen zu Datenlokation, Verschlüsselung im Ruhezustand, Logdauer, Sicherheitsprüfungen oder Löschfristen ergeben sich erst aus dem jeweiligen freigegebenen Leistungs- und Sicherheitsdokument.

Bitte treffen Sie keine Annahme, dass die öffentlich gezeigte Demo bereits eine attestierte Sicherheitszertifizierung oder einen unterzeichneten AVV-Umfang umfasst. Ein aktueller Sicherheits- beziehungsweise Prozessnachweis kann vor einer B2B-Integration angefordert werden.

Unterauftragsverarbeiter und Infrastruktur

Je nach Dienst können Hosting-, Cloud-, Sicherheits-, E-Mail- oder KI-/OCR-Dienstleister an der Bereitstellung beteiligt sein. Die Infrastruktur der DokuTakt-Webseite nutzt Hetzner und Cloudflare. Für die eigentliche Skavio-Verarbeitung kann der Kreis beteiligter Unterauftragsverarbeiter abweichen.

Eine für Ihren konkreten Vertrag gültige Liste einschließlich Rolle, Leistungsbereich, Standort und etwaiger Drittlandgarantien sollte vor der produktiven Übermittlung personenbezogener Kundendateien bereitgestellt und nach Art. 28 DSGVO vertraglich behandelt werden.

EU-/EWR-Bezug und internationale Datenübermittlungen

Skavio LLC hat ihren Gesellschaftssitz in den USA. Ein Rechenzentrum in Europa bedeutet nicht automatisch, dass keinerlei grenzüberschreitende Verarbeitung stattfinden kann. Bei Zugriffsrechten, Unterauftragnehmern oder Cloud-Diensten sind die Vorgaben der Art. 44 ff. DSGVO zu berücksichtigen. Entsprechende Angemessenheitsgrundlagen, Standardvertragsklauseln und gegebenenfalls ergänzende Maßnahmen sind für den konkreten Datenfluss zu dokumentieren; pauschale Compliance-Versprechen vermeiden wir.

Aufbewahrung, Löschung und Backups

Für produktive Dateien, Exporte und technische Protokolle müssen passende Aufbewahrungs-, Rückgabe- und Löschregeln vertraglich und technisch festgelegt sein. Diese können je nach Dateityp, Verarbeitungsweg und notwendiger Wiederherstellbarkeit unterschiedlich sein. Insbesondere Backups erfordern ein gesondertes Lösch- beziehungsweise Ablaufkonzept. Die DokuTakt-Website selbst speichert derzeit keine hochgeladenen Kundendokumente.

AVV-Unterlagen und Integrationsprüfung anfragen

Schreiben Sie für eine konkrete B2B-Anbindung an info@dokutakt.de. Teilen Sie nach Möglichkeit Folgendes mit: Rechtsname des Unternehmens, Sitzland, gewünschter Dienst (OCR, Flow, API, Transcribe), ungefähre Dokumenttypen sowie besondere Datenschutzanforderungen. Bitte fügen Sie keine echten Personen- oder Kundendaten bei.

Vor dem produktiven Einsatz mit personenbezogenen Daten ist zu klären, ob und in welcher Form eine rechtlich passende AVV abgeschlossen und die erforderlichen Informationen zu Unterauftragsverarbeitung sowie internationalen Transfers bereitgestellt werden können. Eine Kontaktanfrage allein führt zu keiner kostenpflichtigen Bestellung.

Weiterführende Unterlagen

Fachliche Grundlage: Europäische Kommission – DSGVO-Anwendung für Unternehmen.