Auftragsverarbeitungsvertrag (AVV)

§1 Gegenstand, Dauer und Zweck

Dieser Auftragsverarbeitungsvertrag (AVV) regelt, gemäß Art. 28 DSGVO, die Verarbeitung personenbezogener Daten, die UAB NVGroup ("Auftragsverarbeiter") im Auftrag des Kunden ("Verantwortlicher") im Rahmen der Nutzung des Dienstes demurrit.eu (nachfolgend — Dienst) durchführt.

Zweck der Verarbeitung — Erbringung des Dienstes: Extraktion von Daten aus Fracht- und Zolldokumenten, Prüfung von Rechnungen/Anmeldungen sowie Erstellung damit verbundener Berichte/Ansprüche zugunsten des Verantwortlichen.

Dauer der Verarbeitung — dieser AVV gilt für die Dauer des zugrunde liegenden Dienstleistungsvertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Nach Beendigung des Hauptvertrags gilt §7 (Rückgabe und Löschung der Daten nach Vertragsende).

Kategorien betroffener Personen — Mitarbeiter des Verantwortlichen und Nutzer des Kundenportals (Name, E-Mail, Rolle in der Organisation); sowie Dritte, deren Daten im Inhalt der vom Verantwortlichen hochgeladenen Dokumente enthalten sind (z. B. Fahrer, Kontaktpersonen, Empfänger).

Kategorien personenbezogener Daten — Kontaktdaten (Name, E-Mail, Telefon), mit Fracht-/Zolldokumenten verbundene Daten (Kennzeichen des Transportmittels, Name des Fahrers, Adressen, Unterschriften auf Dokumenten) sowie Nutzungsdaten des Kontos (Anmeldezeiten, Aktivitätsprotokoll).

§2 Ort der Verarbeitung

Die gesamte primäre Verarbeitung und Speicherung des Dienstes erfolgt ausschließlich innerhalb der EU/des EWR: der Anwendungsserver und die Datenbank — im Rechenzentrum der netcup GmbH in Nürnberg, Deutschland; die Dokumentenspeicherung — im Rechenzentrum der Hetzner Online GmbH, ebenfalls in Nürnberg; Sicherungskopien — im Rechenzentrum der Akenes SA (Exoscale) in Wien, Österreich.

Eine Datenübermittlung außerhalb des EWR erfolgt in zwei Fällen: (1) für die automatisierte Datenextraktion aus Dokumenten, die nicht deterministisch innerhalb der EU-Infrastruktur verarbeitet werden können (siehe Abschnitt 6.1 der Datenschutzerklärung — stufenweise Verarbeitung, die meisten Dokumente verlassen die EU NIEMALS), wird der Inhalt an Anthropic PBC übermittelt, registriert in den USA; (2) für den Versand von E-Mails (Rechnungen, Anmeldelinks, Erinnerungen), über Proton AG, registriert in der Schweiz.

Die USA verfügen über keinen allgemeinen Angemessenheitsbeschluss; die Übermittlung an Anthropic PBC stützt sich auf die EU-Standardvertragsklauseln (Art. 46 DSGVO), die Teil der Datenverarbeitungsbedingungen von Anthropic sind. Für die Schweiz gilt der Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO) — für die Übermittlung an Proton AG sind keine zusätzlichen Schutzmaßnahmen erforderlich.

§3 Liste der Unterauftragsverarbeiter (genehmigte Auftragsverarbeiter)

Mit diesem AVV erteilt der Verantwortliche dem Auftragsverarbeiter eine allgemeine Genehmigung zur Hinzuziehung der oben genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter verpflichtet sich, den Verantwortlichen über jede geplante Änderung im Zusammenhang mit der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters spätestens 30 Kalendertage im Voraus zu informieren (siehe Abschnitt 7 der Datenschutzerklärung), damit der Verantwortliche innerhalb von 15 Tagen die Möglichkeit hat, begründet Widerspruch einzulegen. Wird ein solcher Widerspruch erhoben und einigen sich die Parteien nicht innerhalb einer angemessenen Frist auf eine Alternative, hat jede Partei das Recht, den Hauptvertrag hinsichtlich des Teils zu kündigen, für den der beanstandete Unterauftragsverarbeiter erforderlich ist.

§4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (einschließlich Weisungen bezüglich der Übermittlung personenbezogener Daten an ein Drittland), es sei denn, dies ist nach EU-Recht oder dem Recht eines Mitgliedstaats erforderlich — in diesem Fall unterrichtet der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über diese rechtliche Anforderung, sofern eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses verboten ist;
• sicherzustellen, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen schriftlich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
• die in §6 genannten technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zu ergreifen;
• die in §3 genannten Bedingungen für die Hinzuziehung von Unterauftragsverarbeitern einzuhalten;
• unter Berücksichtigung der Art der Verarbeitung den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Ausübung der Rechte der betroffenen Person zu unterstützen (Kapitel III DSGVO);
• den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) zu unterstützen, unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen;
• nach Wahl des Verantwortlichen nach Beendigung der Erbringung der mit der Verarbeitung verbundenen Dienstleistungen alle personenbezogenen Daten zu löschen oder dem Verantwortlichen zurückzugeben und bestehende Kopien zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht (siehe §7);
• dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung zu stellen und Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, zu ermöglichen und dazu beizutragen (siehe §5).

§5 Kontrollrecht

Der Verantwortliche hat das Recht, nach schriftlicher Ankündigung von mindestens 20 Werktagen im Voraus, höchstens einmal pro Kalenderjahr (außer bei begründetem Verdacht auf einen Verstoß — in diesem Fall entfällt die Ankündigungsfrist), vom Auftragsverarbeiter Unterlagen anzufordern, die die Einhaltung dieses AVV und von Art. 28 DSGVO belegen. Die Kontrolle wird während der üblichen Geschäftszeiten durchgeführt, ohne den Betrieb des Auftragsverarbeiters unangemessen zu beeinträchtigen; die mit einer konkreten Kontrolle verbundenen angemessenen Kosten trägt der Verantwortliche, außer wenn die Kontrolle einen tatsächlichen Verstoß gegen die DSGVO oder diesen AVV aufdeckt.

§6 Technische und organisatorische Maßnahmen (TOM)

Diese Maßnahmen sind zum Zeitpunkt der Erstellung dieses Dokuments (2026-09-06) tatsächlich umgesetzt und überprüft — eine ehrliche Liste, keine Marketingform:

• Verschlüsselung bei der Übertragung: der gesamte Datenverkehr über TLS (Let's Encrypt, automatisch erneuertes Zertifikat).
• Isolierung der Datenbank: Trennung der Organisationen auf Datenbankebene (Row-Level Security mit FORCE), angewendet auf JEDE Tabelle mit Organisationsdaten — durch automatisierte Tests überprüft.
• Zugriffskontrolle für den Server: ausschließlich SSH-Schlüsselauthentifizierung (Passwort-Login deaktiviert), Root-Login deaktiviert, Firewall (ufw) lässt nur die notwendigen Ports zu (22/80/443), automatische Sicherheitsupdates.
• Schutz des Dokumentenspeichers: hochgeladene Originaldokumente werden mit Versionierung und Object Lock (im Governance-Modus) gespeichert — durch einen realen Test bestätigt, dass selbst ein Administrationsschlüssel eine gespeicherte Version nicht ohne zusätzliche Berechtigung dauerhaft löschen kann.
• Sicherungskopien: täglich, automatisiert, bei einem ANDEREN Anbieter als der Produktionsinfrastruktur gespeichert, unter Verwendung von Schlüsseln ohne Löschrechte. Ein tatsächlicher Wiederherstellungsvorgang auf einen unabhängigen Server wurde überprüft.
• Zugriffsprotokoll: ein Protokoll der Statusänderungen jedes Dokuments (append-only, nur Schreib- und Lesezugriff für die Anwendung).

Eine ausführliche Beschreibung der technischen und organisatorischen Maßnahmen, einschließlich ihrer aktuellen Grenzen, wird dem Sicherheitsteam oder dem Datenschutzbeauftragten des Käufers auf Anfrage zur Verfügung gestellt: privacy@demurrit.eu.

§7 Aufbewahrungsdauer, Löschung und Rückgabe der Daten nach Vertragsende

Die Fristen für die laufende Verarbeitung sind in Abschnitt 9 der Datenschutzerklärung festgelegt (24 Monate für Originaldokumente, 40 Monate für Zolldokumente usw.) — dieser AVV dupliziert sie nicht, sondern verweist auf dieselbe Quelle, damit die beiden Dokumente im Laufe der Zeit nicht auseinanderdriften können.

Unabhängig von den oben genannten Fristen löscht der Auftragsverarbeiter nach Beendigung des Hauptvertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter innerhalb von 30 Tagen nach Aufforderung durch den Verantwortlichen alle noch gespeicherten personenbezogenen Daten oder gibt sie zurück (falls vom Verantwortlichen gewünscht) und löscht bestehende Kopien — mit Ausnahme der Daten, deren Aufbewahrung nach EU-Recht oder dem Recht der Mitgliedstaaten (z. B. Buchführungsvorschriften, das CMR-Übereinkommen oder der Unionszollkodex) länger vorgeschrieben ist; in diesem Fall werden die Daten nur so lange aufbewahrt, wie diese Rechtsgrundlage es erfordert, und zu keinem anderen Zweck weiterverarbeitet.

§8 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die im Rahmen dieses AVV verarbeitete Daten betrifft, unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, per E-Mail an die vom Verantwortlichen in seinem Konto oder im Vertrag angegebene Adresse. Die Meldung enthält, soweit möglich, Angaben zur Art der Verletzung, den wahrscheinlichen Folgen sowie den ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung oder zur Minderung ihrer möglichen nachteiligen Auswirkungen. Diese Frist wurde festgelegt, damit der Verantwortliche über eine reale Zeitspanne verfügt, um seine eigene 72-Stunden-Meldepflicht gegenüber der Aufsichtsbehörde nach Art. 33 DSGVO zu erfüllen.

§9 Haftung

Jede Partei haftet für Schäden, die durch ihren eigenen Verstoß gegen die DSGVO oder diesen AVV verursacht wurden, nach Art. 82 DSGVO und dem anwendbaren nationalen Recht. Zwischen den Parteien vereinbarte Haftungsbeschränkungen (sofern im zugrunde liegenden Dienstleistungsvertrag vorgesehen) gelten auch für diesen AVV, außer soweit solche Beschränkungen durch zwingende Bestimmungen der DSGVO untersagt sind.

§10 Anwendbares Recht und Streitbeilegung

Dieser AVV unterliegt dem Recht der Republik Litauen. Streitigkeiten, die sich aus diesem AVV ergeben oder damit im Zusammenhang stehen, werden durch Verhandlungen beigelegt; kommt keine Einigung zustande, entscheidet das zuständige Gericht der Republik Litauen am Sitz des Auftragsverarbeiters.

§11 Kontakt

Bei Fragen zu diesem AVV, zur individuellen Abstimmung oder Fragen Ihres Datenschutzbeauftragten: privacy@demurrit.eu. UAB NVGroup, Litauen (Angaben — siehe Abschnitt 1 der Datenschutzerklärung).