Rechtliches
Auftragsverarbeitungsvertrag
Data Processing Agreement (DPA)
Zuletzt aktualisiert: Juli 2026
Gemäß Artikel 28 der Datenschutz-Grundverordnung (DSGVO). Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen Kodex („Auftragsverarbeiter“) und dem Kunden („Verantwortlicher“).
1. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zum Zweck der Erbringung von Leistungen der Compliance-Bewertung, der Dokumentenverwaltung und der KI-gestützten Compliance-Analyse. Die Verarbeitung dauert für die Laufzeit des Dienstleistungsvertrags an.
2. Art und Zweck der Verarbeitung
- Speicherung und Analyse der vom Verantwortlichen hochgeladenen Compliance-Nachweisdokumente
- KI-gestützte Bewertung von Compliance-Kontrollen anhand regulatorischer Rahmenwerke
- Erstellung von Compliance-Berichten, Richtlinien und Risikobewertungen
- Verwaltung von Benutzerkonten und Authentifizierung
3. Arten personenbezogener Daten
- Kontaktdaten (Namen, E-Mail-Adressen)
- Beschäftigungsdaten (enthalten in hochgeladenen Compliance-Nachweisen)
- IT-Sicherheitsdaten (Zugriffsprotokolle, Systemkonfigurationen)
- Sämtliche personenbezogenen Daten, die in vom Verantwortlichen hochgeladenen Dokumenten enthalten sind
4. Kategorien betroffener Personen
- Beschäftigte und Auftragnehmer des Verantwortlichen
- Kunden des Verantwortlichen (soweit in hochgeladenen Nachweisen enthalten)
- Partner und Lieferanten des Verantwortlichen
5. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich:
- (a)personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten
- (b)sicherzustellen, dass die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind
- (c)geeignete technische und organisatorische Sicherheitsmaßnahmen zu treffen (Art. 32 DSGVO)
- (d)keinen weiteren Auftragsverarbeiter ohne vorherige schriftliche Genehmigung des Verantwortlichen hinzuzuziehen
- (e)den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen zu unterstützen (Art. 15–22 DSGVO)
- (f)den Verantwortlichen bei der Einhaltung der Art. 32–36 DSGVO zu unterstützen
- (g)nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Beendigung der Leistung zu löschen oder zurückzugeben
- (h)alle zum Nachweis der Einhaltung erforderlichen Informationen bereitzustellen und Überprüfungen zu ermöglichen
6. Unterauftragsverarbeiter
Der Auftragsverarbeiter setzt die folgenden Unterauftragsverarbeiter ein:
| Unterauftragsverarbeiter | Zweck | Standort | Garantien |
|---|---|---|---|
| Supabase (Singapore Pte. Ltd.) | Datenbank, Authentifizierung, Dateispeicherung | EU (Irland, eu-west-1) | Datenhaltung in der EU |
| Anthropic, PBC (über AWS Bedrock) | KI-Inferenz für die Compliance-Bewertung | EU (Frankfurt, eu-central-1) | Datenhaltung in der EU |
| Stripe (Payments Europe Ltd.) | Zahlungsabwicklung | EU (Irland) | EU-Gesellschaft, DSGVO-konform |
| Upstash (Inc.) | Redis-Caching und Ratenbegrenzung | EU (Frankfurt) | Datenhaltung in der EU |
| Render Services (Inc.) | Anwendungshosting und Bereitstellung | EU (Frankfurt) | Datenhaltung in der EU |
| Resend (Inc.) | Versand von Transaktions-E-Mails | EU | Verarbeitung in der EU |
| Sentry (Functional Software Inc.) | Fehlerüberwachung | EU (Datenannahme Frankfurt) | Datenhaltung in der EU |
Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Hinzuziehung der vorstehend aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen bei den Unterauftragsverarbeitern und gibt ihm die Möglichkeit zum Widerspruch.
7. Internationale Datenübermittlungen
Soweit personenbezogene Daten in Länder außerhalb des EWR übermittelt werden, stellt der Auftragsverarbeiter geeignete Garantien nach Kapitel V DSGVO sicher, einschließlich der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 der Kommission) und von Transfer-Folgenabschätzungen.
8. Sicherheitsmaßnahmen
Der Auftragsverarbeiter setzt die folgenden technischen und organisatorischen Maßnahmen um:
- Verschlüsselung im Ruhezustand (AES-256) und bei der Übertragung (TLS 1.2+)
- Rollenbasierte Zugriffskontrolle nach dem Prinzip der geringsten Rechte
- Regelmäßige Sicherheitsaudits und Schwachstellenbewertungen
- Automatisierte Überwachung und Erkennung von Vorfällen
- Vertraulichkeitsverpflichtungen und Schulungen der Beschäftigten
9. Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich (und in jedem Fall innerhalb von 48 Stunden), nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, und stellt dabei alle nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen bereit.
10. Prüfrechte
Der Verantwortliche kann die Einhaltung dieses AVV durch den Auftragsverarbeiter überprüfen. Überprüfungen erfolgen mit angemessener Vorankündigung und während der üblichen Geschäftszeiten.
11. Laufzeit und Beendigung
Dieser AVV gilt für die Laufzeit des Dienstleistungsvertrags. Nach Beendigung löscht der Auftragsverarbeiter alle personenbezogenen Daten innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
12. Kontakt
Bei Fragen zu diesem AVV wenden Sie sich bitte an: dpa@kodex-compliance.eu
Wichtig: Dieser AVV wird als Standardvereinbarung bereitgestellt. Enterprise-Kunden, die individuelle Bedingungen benötigen, wenden sich bitte an dpa@kodex-compliance.eu.