1. Parteien und Rollen
Der Kunde ist Verantwortlicher für personenbezogene Daten in den von ihm hochgeladenen Unterlagen. Die Nelten Public GmbH verarbeitet diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO. Die Vereinbarung gilt mit der Nutzung entsprechender Upload- und Analysefunktionen.
2. Gegenstand, Dauer, Art und Zweck
Gegenstand ist die verschlüsselte Speicherung, das strukturierte Auslesen, die Kategorisierung, regelbasierte Kostenanalyse, Berichtserstellung, Rückprüfung und Löschung hochgeladener Unternehmensunterlagen. Die Verarbeitung dauert für die Vertragslaufzeit und anschließende Lösch- oder Rückgabephase. Sie erfolgt automatisiert durch Erheben, Ordnen, Speichern, Auslesen, Abgleichen, Übermitteln an freigegebene Unterauftragsverarbeiter und Löschen.
3. Datenarten und betroffene Personen
Verarbeitet werden können Stammdaten, geschäftliche Kontaktdaten, Bank- und Zahlungsdaten, Buchungstexte, Vertrags-, Versicherungs-, Beschäftigten-, Lieferanten-, Kunden- und Kommunikationsdaten. Betroffene Personen können Beschäftigte, Organmitglieder, Ansprechpartner bei Kunden und Lieferanten, Zahlungsempfänger, Vertragspartner und sonstige in Unterlagen genannte Personen sein.
4. Weisungen und Vertraulichkeit
Die Plattformfunktionen, Einstellungen und dokumentierten Aufträge des Kunden bilden die Weisung. Dazu gehört eine vom Firmeninhaber selbst erteilte Kanzleizustimmung; sie ist widerrufbar und wird zusammen mit Kanzlei-, Nutzer- und Mandantenbezug protokolliert. Kanzleimitarbeiter ohne konkrete Mandantenzuordnung erhalten keinen Zugriff. Weitergehende Weisungen werden dokumentiert. Die Betreiberin informiert den Kunden, wenn eine Weisung nach ihrer Einschätzung gegen Datenschutzrecht verstößt. Zugriffsberechtigte Personen sind auf Vertraulichkeit verpflichtet.
5. Technische und organisatorische Maßnahmen
Umgesetzt sind mandantengebundene Datenabfragen, Rollen und Sitzungsabsicherung, CSRF-Schutz, Rate-Limits für Anmeldungen, verschlüsselte Originalablage mit libsodium Secretbox außerhalb des Webroots, gehashte Steuernummern und IP-Bezüge, Audit-Protokolle, Dateityp- und Größenprüfung, Löschfristen, API-Budgetgrenzen, Dateihash-Cache, TLS für externe Schnittstellen und die Trennung von Kartenverarbeitung und Plattform.
6. Unterauftragsverarbeiter
Für das strukturierte Auslesen von PDF- und Bilddateien ist OpenAI vorgesehen; ohne technische und vertragliche Freigabe findet keine Übertragung statt. Für die gehostete Zahlungsabwicklung wird Stripe eingesetzt; der konkret im Checkout ausgewiesene Stripe-Vertragspartner verarbeitet insbesondere Zahlungs- und Transaktionsdaten. Transaktionale E-Mails werden über den vertraglich angebundenen Mailtransport der Hostingumgebung zugestellt. Ein Dienst wird nur bei technischer Aktivierung und vertraglicher Freigabe eingesetzt. Änderungen der Unterauftragsverarbeiter werden dem Kunden vorab mit einer angemessenen Widerspruchsmöglichkeit mitgeteilt.
7. Unterstützung des Kunden
Die Betreiberin unterstützt den Kunden im angemessenen Umfang bei Betroffenenanfragen, Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen. Sicherheitsvorfälle mit Bezug zu Kundendaten werden ohne unangemessene Verzögerung gemeldet.
8. Nachweise und Kontrollen
Die Betreiberin stellt die erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO bereit und ermöglicht angemessene Prüfungen. Prüfungen sind rechtzeitig anzukündigen und so durchzuführen, dass Sicherheit und Rechte anderer Kunden nicht beeinträchtigt werden.
9. Rückgabe und Löschung
Nach Vertragsende werden personenbezogene Kundendaten nach Wahl des Kunden zurückgegeben oder gelöscht, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht. Der strukturierte Datenexport steht vor der Löschung zur Verfügung. Verschlüsselte Originaldateien werden unabhängig davon nach der konfigurierten Frist von 30 Tagen gelöscht.