Auftragsverarbeitungsvertrag (AVV)

Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO (Verordnung (EU) 2016/679)  •  Bestandteil der Allgemeinen Geschäftsbedingungen  •  Vertragssprache: Englisch  •  Übersetzungen dieses Dokuments in andere Sprachen werden aus Gründen der Benutzerfreundlichkeit bereitgestellt. Der englische Text ist die authentische Fassung und für die Auslegung maßgeblich. Weicht eine Übersetzung jedoch vom englischen Text ab, werden wir uns auf diese Abweichung nicht zum Nachteil des Kunden berufen.

1. Vertragsparteien

LLC "DataPrime", ein in der Ukraine eingetragenes Unternehmen, ist das Unternehmen, das den Dienst Lingverra betreibt. „Lingverra“ ist die geschäftliche Bezeichnung, unter der das Unternehmen die Leistung erbringt, und keine eigene juristische Person; in diesem Dokument bezeichnen „Lingverra“ oder „wir“ die LLC "DataPrime".

Dieser Vertrag zur Auftragsverarbeitung („DPA“) wird geschlossen zwischen:

Auftragsverarbeiter:
LLC "DataPrime"
vul. Yakubenkivska, bud. 1, kab. 6
04107 Kyiv
Ukraine
Registernummer: 46215708
E-Mail: support@lingverra.com (nachfolgend der „Auftragsverarbeiter“)

Verantwortlicher:
Der beeidigte/ermächtigte Übersetzer oder das Übersetzungsbüro, der bzw. das die Allgemeinen Geschäftsbedingungen annimmt und ein Benutzerkonto auf der Plattform Lingverra registriert hat (nachfolgend der „Kunde“ oder „Verantwortlicher“). Der Dienst richtet sich ausschließlich an Unternehmen (B2B); er richtet sich nicht an Verbraucher.

Dieses DPA ist Bestandteil der Allgemeinen Geschäftsbedingungen und in diese einbezogen. Mit der Annahme der Allgemeinen Geschäftsbedingungen nimmt der Verantwortliche auch dieses DPA an. Das DPA tritt in dem Zeitpunkt in Kraft, in dem der Verantwortliche die Allgemeinen Geschäftsbedingungen annimmt.

2. Rollenverteilung (Verantwortlicher / Auftragsverarbeiter)

Hinsichtlich der personenbezogenen Daten, die in den vom Kunden hochgeladenen Dokumenten enthalten sind (Klienten des Kunden, in Urkunden genannte Personen, Dritte), ist der Kunde der Verantwortliche im Sinne des Art. 4(7) DSGVO und Lingverra der Auftragsverarbeiter im Sinne des Art. 4(8) DSGVO. Der Kunde bestimmt die Zwecke und Mittel der Verarbeitung dieser Daten; Lingverra verarbeitet sie ausschließlich zur Erbringung der Übersetzungsleistung in seinem Auftrag.

2.1 Dokumentierte Weisung durch das Hochladen eines Dokuments

Die Nutzung der Plattform ist freiwillig und wird stets vom Kunden veranlasst. Bevor ein Dokument verarbeitet wird, muss sich der Kunde registrieren, die Allgemeinen Geschäftsbedingungen einschließlich dieses DPA annehmen und auf der Plattform seine Einwilligung erteilen; erst dann wird der Arbeitsbereich des Dienstes zugänglich gemacht. Jedes Hochladen eines Dokuments zur Übersetzung stellt eine gesonderte, bewusste und dokumentierte Weisung des Verantwortlichen an den Auftragsverarbeiter im Sinne des Art. 28(3)(a) DSGVO dar, die in Kenntnis der in Abschnitt 2.2 und in der Liste der Unterauftragsverarbeiter beschriebenen technischen Mittel erteilt wird. Der Auftragsverarbeiter verarbeitet keine Dokumentinhalte, solange und soweit der Verantwortliche nicht durch das Hochladen des Dokuments eine solche Weisung erteilt.

2.2 Der Auftragsverarbeiter bestimmt nur die technischen Mittel der Umsetzung

Der Verantwortliche bestimmt den Zweck der Verarbeitung (ob, warum und welches Dokument übersetzt wird) und behält die Kontrolle über den Inhalt und über die betroffenen Personen. Der Auftragsverarbeiter bestimmt lediglich die nicht wesentlichen, technischen Mittel der Umsetzung dieser Weisung, nämlich: das eingesetzte KI-Übersetzungsmodell („Claude“) sowie den Kanal und die Region in der EU, über die es angesprochen wird (siehe Liste der Unterauftragsverarbeiter), die Aufbewahrungsfrist, nach deren Ablauf Inhalte automatisch gelöscht werden, das Verschlüsselungsverfahren (ein eigener Schlüssel für jedes Dokument) sowie die Hosting-Infrastruktur. Im Einklang mit der anerkannten Unterscheidung zwischen wesentlichen und nicht wesentlichen Mitteln (vgl. EDSA-Leitlinien 07/2020 zu den Begriffen des Verantwortlichen und des Auftragsverarbeiters) macht die Bestimmung solcher technischen Mittel durch einen Auftragsverarbeiter diesen nicht zum Verantwortlichen.

Die Leistung wird mittels einer einheitlichen, standardisierten technischen Konfiguration erbracht; der Auftragsverarbeiter bietet keine alternativen Mittel (Modell, Region, Aufbewahrung oder Verschlüsselung) an, und der Kunde wählt keine aus. Mit der Annahme dieses DPA und mit dem Hochladen eines Dokuments weist der Verantwortliche den Auftragsverarbeiter an, die Verarbeitung unter Einsatz genau dieser technischen Mittel durchzuführen. Das Fehlen einer Auswahl zwischen einzelnen Mitteln entspricht dem standardisierten, werkzeugartigen Charakter der Leistung und verleiht dem Auftragsverarbeiter keinerlei Entscheidungsbefugnis über die Zwecke der Verarbeitung. Die Entscheidung, ob die vom Auftragsverarbeiter angebotenen technischen Mittel überhaupt in Anspruch genommen werden, liegt vollständig beim Verantwortlichen: Der Verantwortliche entscheidet frei, ob er die Mittel des Auftragsverarbeiters zur Verarbeitung eines bestimmten Dokuments einsetzt oder nicht, und kann jederzeit von der Nutzung des Dienstes absehen. Die Mittel werden dem Verantwortlichen somit zur Verfügung gestellt, und es ist seine eigene freiwillige Entscheidung, sie auf die Verarbeitung anzuwenden; diese freiwillige Wahl des Verantwortlichen und nicht eine einseitige Bestimmung durch den Auftragsverarbeiter entscheidet darüber, ob die Verarbeitung stattfindet.

2.3 Keine eigene Nutzung der Inhalte

Der Auftragsverarbeiter verarbeitet die Dokumentinhalte ausschließlich zur Durchführung der vom Verantwortlichen angewiesenen Übersetzung. Der Auftragsverarbeiter nutzt die Dokumentinhalte nicht für eigene Zwecke, analysiert oder profiliert sie nicht, gibt sie nicht an Dritte weiter, mit Ausnahme der zur Erbringung der Leistung erforderlichen Unterauftragsverarbeiter (Abschnitt 6), und die Inhalte werden nicht zum Trainieren, Nachtrainieren oder Verbessern eines Modells der künstlichen Intelligenz verwendet. Der Auftragsverarbeiter zieht aus den Inhalten keinen eigenständigen Nutzen über die Erbringung der vertraglich vereinbarten Leistung hinaus.

Der Kunde übt seinen Beruf in eigener Verantwortung aus und entscheidet allein, ob er ein Dokument seines Klienten zur Übersetzung auf die Plattform hochlädt und auf welcher Rechtsgrundlage er dies tut. Lingverra prüft nicht und ist nicht dafür verantwortlich, ob der Kunde berechtigt ist, die jeweiligen Daten zu übermitteln; diese Verantwortung liegt allein beim Kunden als Verantwortlichem (siehe Abschnitt 13).

Lingverra handelt nur so lange als Auftragsverarbeiter, wie es die betreffenden Inhalte vorhält. Nachdem die Inhalte gemäß Abschnitt 11 gelöscht wurden (standardmäßig 72 Stunden nach Bereitstellung), oder früher, wenn der Verantwortliche sie in seinem Konto löscht, verarbeitet Lingverra diese Inhalte nicht mehr und handelt in Bezug auf sie nicht mehr als Auftragsverarbeiter.

3. Gegenstand und Zweck der Verarbeitung

Lingverra betreibt eine cloudbasierte Software-as-a-Service-Plattform für die KI-gestützte Übersetzung amtlicher und sonstiger Dokumente für beeidigte oder ermächtigte Übersetzer. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen nur in dem Umfang, der zur Erbringung dieser Leistung erforderlich ist.

Kostenvoranschläge (Angebote). Dasselbe gilt, wenn der Verantwortliche ein Dokument hochlädt, um dessen Umfang schätzen und ein bepreistes Angebot auf dem eigenen Briefkopf des Verantwortlichen erstellen zu lassen. Ein Unterschied ist wesentlich und wird hier zur Klarstellung festgehalten: Bei dieser Funktion ist kein Modell der künstlichen Intelligenz beteiligt, und es werden keine Daten an einen Modellanbieter übermittelt. Der Text wird durch Texterkennungssoftware, die auf der eigenen Infrastruktur des Auftragsverarbeiters innerhalb der EU/des EWR läuft, aus dem Dokument ausgelesen. Die hochgeladene Datei wird gelöscht, sobald der Kostenvoranschlag erstellt wurde; das erzeugte PDF wird verschlüsselt gespeichert und nach 72 Stunden gelöscht (Abschnitt 11).

Rechnungen an den eigenen Kunden des Verantwortlichen. Entsprechendes gilt, wenn der Verantwortliche aus einem gespeicherten Kostenvoranschlag eine Rechnung erstellt. Name und Anschrift des Kunden des Verantwortlichen, die dieser zu diesem Zweck eingibt, verarbeitet der Auftragsverarbeiter ausschließlich zur Darstellung auf der Rechnung; die Anschrift wird verschlüsselt gespeichert. Die Rechnung wird auf dem Briefkopf des Verantwortlichen und in seinem Namen ausgestellt: Der Auftragsverarbeiter ist weder Aussteller noch Partei, vergibt keine Rechnungsnummern und übermittelt die Rechnung nicht an den Empfänger. Das erstellte PDF und die Anschrift des Kunden werden nach 72 Stunden gelöscht; vorher kann der Verantwortliche den Kostenvoranschlag oder die Rechnung jederzeit in seinem Konto löschen; die Aufbewahrung der Rechnung für die für den Verantwortlichen geltenden gesetzlichen Fristen obliegt dem Verantwortlichen selbst.

Außerhalb dieses Vertrags: Anfragen von Interessenten. Der Auftragsverarbeiter betreibt auf seiner öffentlichen Website gesondert ein Formular, über das eine Person, die eine beglaubigte Übersetzung sucht, um die Vermittlung an einen Übersetzer bitten kann. Für diese Kontaktdaten handelt der Auftragsverarbeiter als eigenständig Verantwortlicher auf Grundlage der Einwilligung dieser Person und nicht als Auftragsverarbeiter des Verantwortlichen; dieser Vertrag findet auf sie keine Anwendung. Nimmt der Verantwortliche eine solche Anfrage an, wird der Verantwortliche seinerseits eigenständig Verantwortlicher für die erhaltenen Kontaktdaten und entscheidet allein über deren Verwendung; der Auftragsverarbeiter erteilt insoweit keine Weisungen und erhält keinen Anteil an einem daraus folgenden Auftrag. Diese Verarbeitung ist in der Datenschutzerklärung, Abschnitt 3.5, beschrieben.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28(3)(a) DSGVO).

4. Art, Umfang und Kategorien der Daten

4.1 Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zu folgenden Zwecken:

• Speicherung und Verwaltung der vom Verantwortlichen hochgeladenen Dokumente und Dateien;
• KI-gestützte Übersetzung der Dokumentinhalte. Zur Erbringung der Übersetzungsleistung wird der Dokumentinhalt durch das Sprachmodell „Claude“ über einen Kanal in der EU verarbeitet, der in der Liste der Unterauftragsverarbeiter aufgeführt ist; der Anbieter dieses Kanals handelt dabei als Unterauftragsverarbeiter gemäß Abschnitt 6. Die Verarbeitung bleibt innerhalb des EWR, gleich welcher der aufgeführten Kanäle die Anfrage ausführt. Diese Verarbeitung ist integraler und notwendiger Bestandteil der Leistung; ohne sie kann keine Übersetzung erbracht werden. Mit dem Hochladen eines Dokuments zur Übersetzung erteilt der Verantwortliche eine dokumentierte Weisung (Art. 28(3)(a) DSGVO), die diese Unterauftragsverarbeitung umfasst. Der Dokumentinhalt bleibt innerhalb des EWR, wird nur vorübergehend für die Übersetzung verarbeitet und wird nicht zum Training von Modellen verwendet;
• Bereitstellung des übersetzten Dokuments sowie eines zweispaltigen Vergleichs-/Nachbearbeitungseditors zur Überprüfung durch den Verantwortlichen;
• vorübergehende Speicherung des Ausgangsdokuments und der Übersetzung für die Dauer der Aufbewahrungsfrist (siehe Abschnitt 11), damit der Verantwortliche das Ergebnis erneut öffnen kann;
• Führung von Protokollen (Audit-Logs) sicherheitsrelevanter Ereignisse im Konto des Verantwortlichen;
• Schätzung des Umfangs eines Dokuments und Erstellung eines bepreisten Angebots auf dem Briefkopf des Verantwortlichen. Der Text wird durch Texterkennungssoftware auf der eigenen Infrastruktur des Auftragsverarbeiters innerhalb der EU/des EWR aus dem Dokument ausgelesen; es ist kein KI-Modell und kein Modellanbieter beteiligt, anders als bei der vorstehenden Übersetzungsfunktion;
• Erstellung einer Rechnung aus einem gespeicherten Kostenvoranschlag, auf dem Briefkopf des Verantwortlichen und in seinem Namen, unter Verwendung von Name und Anschrift des Kunden des Verantwortlichen, die dieser zu diesem Zweck eingibt; der Auftragsverarbeiter stellt diese Daten auf der Rechnung dar und tut sonst nichts damit.

4.2 Kategorien personenbezogener Daten

Die in den hochgeladenen Dokumenten enthaltenen Daten werden vom Verantwortlichen bestimmt und können ihrer Natur nach besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO umfassen (z. B. Gesundheitsdaten in ärztlichen Attesten, Daten, aus denen religiöse oder weltanschauliche Überzeugungen hervorgehen, biometrische Daten in Ausweisdokumenten) sowie personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO (z. B. Führungszeugnisse). Lingverra hat keine Kenntnis vom konkreten Inhalt der Dokumente und nimmt keine Bewertung ihres Inhalts vor.

Kategorie	Datenelemente
Dokumentdaten (Inhalt)	Hochgeladene Dateien (PDF, Bilder), durch KI extrahierter und übersetzter Text, Dokumentmetadaten. Können besondere Datenkategorien (Art. 9 DSGVO) enthalten: Gesundheitsdaten, religiöse/weltanschauliche Daten, biometrische Daten aus Ausweisdokumenten; sowie Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO): z. B. Führungszeugnisse.
Identitätsdaten der betroffenen Personen	Namen, Geburtsdaten, Anschriften, Urkunden- und Aktenzeichen, in den Dokumenten genannte Unterschriften
Konto- und Profildaten des Kunden	E-Mail-Adresse, Name, berufliche Angaben (Bestellung, Sprachen, Beglaubigungsvermerk)
Technische Daten	IP-Adressen, User Agent, Sitzungskennungen, Audit-Log-Einträge
Abrechnungsdaten	Anzahl der übersetzten Normseiten, Guthaben, Zahlungshistorie

Hinweis: Konto-, Profil-, technische und Abrechnungsdaten des Kunden selbst werden von Lingverra als eigenem Verantwortlichen verarbeitet (Vertragserfüllung, Art. 6(1)(b) DSGVO); insoweit gilt die Datenschutzerklärung. Gegenstand dieses DPA sind die in den Dokumenten enthaltenen Daten Dritter, für die der Kunde der Verantwortliche ist.

4.3 Kategorien betroffener Personen

• Klienten des Kunden (natürliche Personen);
• in den Dokumenten genannte Dritte (z. B. in Urkunden aufgeführte Personen, Unterzeichner, ausstellende Personen);
• der Kunde selbst, soweit personenbezogene Daten in seinen Dokumenten enthalten sind.

4.4 Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des Vertragsverhältnisses. Darüber hinaus werden die Inhalte des Ausgangsdokuments und der Übersetzung nach Ablauf der Aufbewahrungsfrist automatisch gelöscht (siehe Abschnitt 11). Bei Beendigung des Vertrags werden personenbezogene Daten gemäß Abschnitt 11 gelöscht oder anonymisiert.

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten;
• sicherzustellen, dass die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28(3)(b) DSGVO);
• geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zu treffen (siehe Abschnitt 7);
• die Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern gemäß Abschnitt 6 einzuhalten;
• den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung seiner Pflichten nach Art. 32–36 DSGVO zu unterstützen;
• nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Abschluss der Verarbeitung zu löschen oder zurückzugeben (siehe Abschnitt 11);
• dem Verantwortlichen alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung des Art. 28 DSGVO erforderlich sind;
• den Verantwortlichen unverzüglich zu informieren, falls eine Weisung nach Auffassung des Auftragsverarbeiters gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

Ersuchen von Behörden. Verlangt ein Gericht oder eine andere Behörde eines beliebigen Staates, einschließlich der Ukraine, die Offenlegung von Kundendaten oder den Zugang zu ihnen, so (a) legt der Auftragsverarbeiter sie nicht freiwillig offen und verweist die Behörde, soweit möglich, an den Verantwortlichen; (b) unterrichtet er den Verantwortlichen unverzüglich und vor jeder Offenlegung, es sei denn, das auf das Ersuchen anwendbare Recht verbietet dies, in welchem Fall er auf die Aufhebung des Verbots hinwirkt; (c) prüft er die Rechtmäßigkeit des Ersuchens und ficht es an, wenn begründeter Anlass besteht, es für rechtswidrig zu halten; und (d) legt er nur das Mindestmaß offen, das das Ersuchen erfordert. Der Auftragsverarbeiter dokumentiert jedes solche Ersuchen. Art. 28(3)(a) DSGVO bleibt unberührt.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit die allgemeine schriftliche Genehmigung zur Inanspruchnahme von Unterauftragsverarbeitern. Der Auftragsverarbeiter informiert mindestens 30 Tage im Voraus in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb von 30 Tagen nach der Information widersprechen. Kann der Auftragsverarbeiter dem Widerspruch nicht abhelfen, ist der Verantwortliche berechtigt, den Vertrag mit einer Frist von 30 Tagen ohne Nachteil zu kündigen.

Die jeweils aktuelle Liste der Unterauftragsverarbeiter — einschließlich des Anbieters des KI-Übersetzungskanals und des Infrastruktur-/Hosting-Anbieters — ist öffentlich abrufbar unter /legal/subprocessors.

Bei der Inanspruchnahme von Unterauftragsverarbeitern erlegt ihnen der Auftragsverarbeiter vertraglich gleichwertige Datenschutzpflichten auf (Art. 28(4) DSGVO). Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Einhaltung der Pflichten durch den Unterauftragsverarbeiter.

7. Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft die folgenden technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO:

Maßnahme	Umsetzung
Verschlüsselung bei der Übertragung	TLS 1.2+ für jede Datenübertragung; HTTPS auf allen Endpunkten erzwungen
Verschlüsselung bei der Speicherung	Ein gesonderter AES-256-GCM-Schlüssel für jedes einzelne Dokument und jeden einzelnen Kostenvoranschlag (und nicht lediglich ein Schlüssel je Nutzer), sodass kein einzelner Schlüssel mehr aufschließt als das Objekt, zu dem er gehört. Derselbe Schlüssel deckt die hochgeladene Datei, den in der Datenbank gespeicherten übersetzten Text und das Angebots-PDF ab; verschlüsselte Sitzungsspeicherung; verschlüsselte Sicherungen
Kryptografische Löschung	Bei Ablauf der Aufbewahrungsfrist und bei Löschung durch den Verantwortlichen wird der Schlüssel dieses Dokuments in derselben Transaktion wie die Löschung vernichtet. Jede Kopie des Geheimtextes außerhalb der Reichweite der Anwendung — eine kurzlebige Sicherung, ein Hosting-Snapshot, vom Laufwerk stillgelegte Flash-Zellen — wird dadurch dauerhaft unentschlüsselbar, für den Auftragsverarbeiter ebenso wie für jeden anderen. Die dokumentbezogenen Schlüssel sind vom Datenbank-Dump ausgenommen: Der Dump wird länger aufbewahrt als die Dateisicherung, und ein Schlüssel, der das von ihm aufgeschlossene Dokument überdauert, würde die Maßnahme zur Farce machen
Schlüsselverwaltung	Der Hauptschlüssel, der die nutzerbezogenen Schlüssel umschließt (die ihrerseits den Schlüssel jedes einzelnen Dokuments umschließen), liegt in einem verwalteten Schlüsseldienst innerhalb der EU (AWS KMS) und nicht auf dem Anwendungsserver oder in der Datenbank; jede Entschlüsselung ist ein ausdrücklicher Aufruf des Schlüsseldienstes, der in einem Prüfpfad festgehalten wird (CloudTrail). Eine Kompromittierung allein der Datenbank oder der Festplatte offenbart keine Inhalte, und ein Zugriff auf Inhalte kann nicht erfolgen, ohne einen Protokolleintrag zu hinterlassen
Kein Routinezugriff (Zugriff nur im Ausnahmefall, stets protokolliert)	Der Auftragsverarbeiter hat kein funktionales Bedürfnis, Dokumentinhalte zu lesen, und tut dies im Normalbetrieb nicht; die Entschlüsselung ist technisch durch den Schlüsseldienst kontrolliert und organisatorisch ungenutzt (die Entwicklung nutzt niemals Dokumente von Kunden). Administratoren lesen keine Inhalte; mit vollen Serverrechten wäre ein Zugriff technisch möglich, die Entschlüsselung eines Dokuments erfordert jedoch einen Aufruf des Schlüsseldienstes, der ihn in seinem Prüfprotokoll festhält; ein Entwickler kann ein Dokument nicht entschlüsseln, ohne einen Prüfeintrag zu hinterlassen
An die Sitzung des Inhabers gebundene Entschlüsselung	Der Dokumentzugriff ist im Code an den Dateninhaber gebunden (jede Dokumentroute filtert nach der Nutzerkennung des Inhabers); ein nutzerbezogener Schlüssel wird im Normalbetrieb nur innerhalb der authentifizierten Sitzung des Inhabers aufgeschlossen. Jedes Aufschließen eines Schlüssels wird sowohl mit dem Dateninhaber als auch mit dem auslösenden Akteur festgehalten. Jedes von einer anderen Person als dem Inhaber (z. B. Personal) ausgelöste Aufschließen wird als Ausnahme gekennzeichnet und löst eine interne Warnung aus; der einzige erwartete Zugriff durch eine andere Person als den Inhaber ist ein von der betroffenen Person selbst beantragter Datenexport, der mit seinem Grund protokolliert wird. Damit ist nachweisbar, dass der Schlüssel im Regelfall von der betroffenen Person und nicht vom Personal angefordert wird
Pseudonymisierung / Anonymisierung	Personenbezogene Daten werden bei Kontolöschung anonymisiert; Dokumentinhalte werden nach Ablauf der Aufbewahrungsfrist automatisch gelöscht (ein datierter Eintrag verbleibt in der Historie, ohne das Dokument und ohne dessen Text)
Zugriffskontrolle	Rollenbasierte Zugriffskontrolle (Übersetzer / Administrator / Buchhalter); strikte Mandantentrennung auf Nutzerebene; Grundsatz der geringsten Rechte
Authentifizierung	Passwort-Hashing; Zwei-Faktor-Authentifizierung (TOTP); Token für vertrauenswürdige Geräte; Sitzungsablauf
Schutz vor Schadsoftware	Virenprüfung hochgeladener Dateien; Prüfung von Dateityp und Signatur vor der Verarbeitung
CSRF-Schutz	CSRF-Token bei allen zustandsverändernden Anfragen
Content Security Policy	Strikte Content-Security-Policy ohne unsafe-inline (script-src und style-src beschränkt auf 'self' zuzüglich einer Nonce je Anfrage); keine Inline-Skripte oder -Stile, wodurch Cross-Site-Scripting (XSS) und Injection im Frontend eingedämmt werden
Protokollierung	WORM-geschützte Audit-Logs (Datenbank-Trigger verhindern Änderung und Löschung); Trennung von Zugriffs- und Geschäftsprotokollen
Sicherung und Wiederherstellung	Regelmäßige automatisierte Sicherungen; verschlüsselte Sicherungsspeicherung; dokumentiertes Wiederherstellungsverfahren
Belastbarkeit	Betrieb auf einem dedizierten Server mit Ressourcenbeschränkungen je Dienst; Fehlerbehandlung und Monitoring auf Anwendungsebene
Schwachstellenmanagement	Regelmäßige Sicherheitsaktualisierungen von Betriebssystem, Abhängigkeiten und Anwendung
Personal und Schulung	Alle Personen mit Zugang zu personenbezogenen Daten sind zur Vertraulichkeit verpflichtet; Zugriffsrechte werden regelmäßig überprüft
Sichere Löschung	Personenbezogene Daten werden durch Anonymisierung oder sicheres Überschreiben gelöscht; die Aufbewahrung der Sicherungen ist auf die Löschrichtlinie abgestimmt
Trennung der Umgebungen	Produktiv- und Test-/Entwicklungsumgebungen sind strikt getrennt; keine echten personenbezogenen Daten in Testumgebungen
Reaktion auf Vorfälle	Verfahren zur Erkennung, Eskalation und Meldung von Verletzungen des Schutzes personenbezogener Daten; Benachrichtigung des Verantwortlichen unverzüglich nach Bekanntwerden (Art. 33(2) DSGVO)

8. Prüf- und Kontrollrechte

Der Verantwortliche hat das Recht, die Einhaltung dieses DPA und des Art. 28 DSGVO durch Prüfungen zu überprüfen, und zwar unter den folgenden Bedingungen:

• Häufigkeit: höchstens einmal je Kalenderjahr, sofern kein begründeter Anlass besteht (z. B. eine Datenschutzverletzung oder eine behördliche Untersuchung);
• Ankündigung: mindestens 30 Tage im Voraus in Textform, unter Angabe von Umfang und Zweck;
• Kosten: auf Kosten des Verantwortlichen, es sei denn, die Prüfung deckt einen wesentlichen Verstoß des Auftragsverarbeiters auf;
• Vertraulichkeit: der Prüfer muss vor dem Zugriff auf Systeme oder Daten eine Vertraulichkeitsvereinbarung unterzeichnen;
• Nachweise: der Auftragsverarbeiter kann die Prüfpflicht durch Vorlage aktueller Zertifikate oder Prüfberichte erfüllen (z. B. nach anerkannten Standards); eine Prüfung vor Ort bleibt möglich, soweit konkrete Bedenken durch die Berichte nicht ausgeräumt werden.

9. Rechte betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische Maßnahmen bei der Erfüllung der Rechte betroffener Personen gemäß Kapitel III DSGVO (Art. 15–22). Der Verantwortliche ist für die Beantwortung von Anträgen betroffener Personen zuständig. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter.

10. Meldung von Verletzungen des Datenschutzes

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden (Art. 33(2) DSGVO), in jedem Fall jedoch innerhalb von 24 Stunden. Damit wird die eigene 72-Stunden-Frist des Verantwortlichen gegenüber der Aufsichtsbehörde (Art. 33(1)) bewusst unterschritten: Diese Frist läuft ab dem Zeitpunkt, in dem der Verantwortliche Kenntnis erlangt, sodass eine erst in der 72. Stunde eingehende Meldung dem Verantwortlichen überhaupt keine Zeit zum Handeln ließe. Steht das vollständige Bild noch nicht fest, meldet der Auftragsverarbeiter auf Grundlage der verfügbaren Tatsachen und ergänzt diese, sobald sie bekannt werden, statt die erste Meldung hinauszuzögern. Die Meldung enthält, soweit dem Auftragsverarbeiter bekannt:

• die Art der Verletzung, einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze;
• den Namen und die Kontaktdaten der Datenschutz-Anlaufstelle des Auftragsverarbeiters;
• die wahrscheinlichen Folgen der Verletzung;
• die ergriffenen oder vorgeschlagenen Maßnahmen zu ihrer Behebung.

Die Meldung an die zuständige Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen gemäß Art. 33 und 34 DSGVO obliegen dem Verantwortlichen.

11. Löschung und Rückgabe von Daten

Die Inhalte des Ausgangsdokuments und der Übersetzung werden nur vorübergehend gespeichert und nach Ablauf der Aufbewahrungsfrist automatisch und dauerhaft gelöscht (standardmäßig 72 Stunden nach Bereitstellung), oder früher, wenn der Verantwortliche sie in seinem Konto löscht; es verbleibt lediglich ein datierter Eintrag in der Historie, der festhält, dass ein Dokument verarbeitet wurde — ohne das Dokument und ohne dessen Text. Die genaue Aufbewahrungsfrist ist in der Datenschutzerklärung angegeben. Sobald die Inhalte gelöscht sind, hält der Auftragsverarbeiter sie nicht mehr vor, kontrolliert sie nicht mehr und hat keinen Zugriff mehr auf sie; die Verarbeitung dieser Inhalte durch den Auftragsverarbeiter endet; die Pflichten des Auftragsverarbeiters aus diesem DPA in Bezug auf gelöschte Inhalte sind damit erfüllt (Art. 28(3)(g) DSGVO).

Die Löschung erfolgt kryptografisch ebenso wie physisch: Die Bytes werden überschrieben, soweit die Anwendung sie erreichen kann, und der zu diesem Dokument gehörende Schlüssel wird vernichtet. Die vorstehende Aussage — dass der Auftragsverarbeiter keinen Zugriff mehr auf gelöschte Inhalte hat — beruht daher nicht auf der Vollständigkeit des Überschreibens über Sicherungen, Snapshots und Speicherhardware hinweg, sondern auf dem Fehlen jedes Schlüssels, mit dem die Inhalte gelesen werden könnten.

Kostenvoranschläge. Das für einen Kostenvoranschlag hochgeladene Dokument wird gelöscht, sobald der Kostenvoranschlag erstellt wurde — es wird nicht für das 72-Stunden-Fenster aufbewahrt, das für Übersetzungen gilt, da es im weiteren Ablauf nicht mehr benötigt wird. Das erzeugte Angebots-PDF wird verschlüsselt gespeichert und nach 72 Stunden gelöscht; es verbleibt der eigene kaufmännische Nachweis des Verantwortlichen über das Angebot (Nummer, Adressat, Summen), der das Dokument des Klienten nicht mehr enthält. Der Verantwortliche kann einen Kostenvoranschlag jederzeit vorher löschen.

Bei Beendigung des Vertrags gilt Folgendes:

• Löschung (Regelfall): personenbezogene Daten werden anonymisiert oder sicher gelöscht. Vor der Beendigung kann der Verantwortliche die Selbstbedienungs-Exportfunktionen der Plattform nutzen, um seine Daten abzurufen;
• Rückgabe (auf Verlangen): förmliche Rückgabe aller personenbezogenen Daten in einem maschinenlesbaren Format auf ein vor der Beendigung in Textform gestelltes Verlangen.

Der Auftragsverarbeiter bewahrt einen minimalen Löschnachweis (Datum, Auslöser, Bestätigungen) als Beleg der DSGVO-konformen Löschung gemäß Art. 28(3)(g) DSGVO auf; dieser Nachweis enthält keine personenbezogenen Daten der betroffenen Personen des Verantwortlichen.

12. Übermittlungen in Drittländer

Die Verarbeitung der Dokumentinhalte (der Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet, einschließlich des Schritts der KI-gestützten Übersetzung) erfolgt auf Servern innerhalb der EU/des EWR und wird nicht in ein Drittland übermittelt. Sie sind bei der Speicherung mit einem innerhalb der EU vorgehaltenen Schlüssel verschlüsselt, sodass die Administration der Infrastruktur für sich genommen die Inhalte nicht offenlegt. Die KI-Übersetzung läuft über einen Kanal in der EU, der unter /legal/subprocessors aufgeführt ist; die Anfrage wird an eine Modellroute innerhalb der EU/des EWR gerichtet und nicht in die Vereinigten Staaten geleitet. Die Wahl von Kanal und Route wird nach dem Prinzip fail-closed validiert: Eine Region, ein Endpunkt oder eine Route außerhalb der EU wird abgewiesen statt bedient.

• Zahlungsdienstleister: Übermittlung ausschließlich von Zahlungsdaten (niemals der Dokumentinhalte). Kartenzahlungen werden durch den ukrainischen Acquirer ПУМБ (hutko) verarbeitet, einen eigenständig Verantwortlichen; übermittelt werden lediglich der Betrag und eine Bestellreferenz, auf Grundlage des Art. 49(1)(b) DSGVO.

Der Auftragsverarbeiter ist in der Ukraine niedergelassen, einem Drittland ohne EU-Angemessenheitsbeschluss. Dies berührt die Dokumentinhalte nicht, die wie vorstehend beschrieben verschlüsselt in der EU verbleiben. Konto- und Abrechnungsdaten des Kunden sind aus der Ukraine für die eigenen Mitarbeiter des Auftragsverarbeiters nach dem Need-to-know-Prinzip zugänglich. Dokumentinhalte sind aus der Ukraine nicht routinemäßig zugänglich. Ein Zugriff darauf ist nur ausnahmsweise und aus einem dokumentierten Grund möglich (insbesondere auf eigenen Wunsch des Kunden, z. B. bei einer Supportanfrage zu einem bestimmten Dokument); jeder solche Zugriff erfordert die Verwendung des in der EU vorgehaltenen Schlüssels und wird vom Schlüsseldienst protokolliert (AWS CloudTrail). Abrechnungs-/Rechnungsdaten verarbeitet der Auftragsverarbeiter für die gesetzliche Buchführung auf Grundlage des Art. 6(1)(b) und des Art. 6(1)(f) DSGVO (Vertragserfüllung und berechtigtes Interesse an der Erfüllung seiner gesetzlichen Buchführungspflichten). Die gesetzliche Buchführung des Auftragsverarbeiters wird entweder durch seine Geschäftsführung oder durch einen externen Anbieter von Buchhaltungsdienstleistungen mit Sitz in der Ukraine erbracht. Wird ein solcher Anbieter beauftragt, werden ihm Buchhaltungsunterlagen ohne direkte Identifikatoren zur Verfügung gestellt — ein nicht sprechender Referenzcode anstelle des Kundennamens, ohne Namen, E-Mail-Adresse oder Postanschrift — und er verfügt weder über die Datenbank des Auftragsverarbeiters noch über den Schlüssel, aus dem die Codes abgeleitet werden. Er erhält daher keine personenbezogenen Daten, ist kein Unterauftragsverarbeiter im Sinne des Art. 28 DSGVO, und aus dieser Gestaltung ergibt sich keine Übermittlung personenbezogener Daten. Der Zugriff auf die zugrunde liegenden Abrechnungsdaten innerhalb der Systeme des Auftragsverarbeiters erfolgt nur lesend und protokolliert. Im Übrigen übermittelt der Auftragsverarbeiter personenbezogene Daten nicht in Drittländer, ohne ein angemessenes Schutzniveau gemäß Kapitel V DSGVO sicherzustellen.

13. Pflichten des Verantwortlichen

Der Verantwortliche sichert zu und verpflichtet sich, dass:

• er für alle auf die Plattform hochgeladenen personenbezogenen Daten über eine wirksame Rechtsgrundlage gemäß Art. 6 DSGVO verfügt;
• er, soweit besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO verarbeitet werden (insbesondere Gesundheitsdaten, religiöse/weltanschauliche Daten, biometrische Daten aus Ausweisdokumenten), über eine wirksame Rechtsgrundlage gemäß Art. 9(2) DSGVO verfügt und geeignete Garantien umgesetzt hat;
• eine Verarbeitung personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO (insbesondere Führungszeugnisse), soweit sie stattfindet, unter behördlicher Aufsicht erfolgt oder nach dem Recht der Union oder der Mitgliedstaaten, das geeignete Garantien vorsieht, zulässig ist;
• er allein für die Rechtmäßigkeit der dem Auftragsverarbeiter erteilten Verarbeitungsweisungen verantwortlich ist;
• er seine Informationspflichten gegenüber seinen eigenen betroffenen Personen gemäß Art. 13 und 14 DSGVO erfüllt hat;
• er die Plattform nur zu rechtmäßigen Zwecken im Einklang mit dem anwendbaren Datenschutzrecht nutzt;
• er allein für die Verwaltung der Zugänge in seinem Konto verantwortlich ist;
• er den Auftragsverarbeiter unverzüglich über Änderungen informiert, die die Einhaltung dieses DPA berühren.

14. Haftung

Jede Partei haftet für die von ihr zu vertretenden Verstöße gegen das anwendbare Datenschutzrecht. Wird der Auftragsverarbeiter für einen Verstoß in Anspruch genommen, der auf einer Weisung oder einem Verhalten des Verantwortlichen beruht, stellt der Verantwortliche den Auftragsverarbeiter insoweit frei, als den Auftragsverarbeiter kein Verschulden trifft.

Die vertragliche Haftung des Auftragsverarbeiters aus diesem DPA unterliegt der in den Allgemeinen Geschäftsbedingungen vereinbarten Haftungsbeschränkung. Die gesetzliche Haftung des Auftragsverarbeiters gegenüber betroffenen Personen gemäß Art. 82 DSGVO bleibt unberührt. Geldbußen gemäß Art. 83 DSGVO trägt die Partei, gegen die sie von der Aufsichtsbehörde verhängt werden; sie können nicht vertraglich abgewälzt werden.

15. Anwendbares Recht und Gerichtsstand

Dieses DPA unterliegt dem Recht des Staates, in dem der Auftragsverarbeiter eingetragen ist (Ukraine). Für Streitigkeiten aus diesem DPA sind die Gerichte dieses Staates zuständig, sofern nicht zwingende Vorschriften am Ort des Verantwortlichen etwas anderes bestimmen. Diese Gerichtsstandsklausel berührt nicht das Recht betroffener Personen, die Gerichte anzurufen, auf die Art. 79(2) DSGVO verweist.

Nationales Datenschutzrecht des Auftragsverarbeiters. Neben der DSGVO gilt für die Verarbeitungstätigkeiten des Auftragsverarbeiters in der Ukraine das ukrainische Gesetz über den Schutz personenbezogener Daten (Nr. 2297-VI).

16. Kontakt

LLC "DataPrime"
vul. Yakubenkivska, bud. 1, kab. 6
04107 Kyiv
Ukraine
E-Mail: support@lingverra.com