Auftragsverarbeitungsvertrag (AVV) 

Dieser Auftragsverarbeitungsvertrag (AVV) regelt, wie Autracon personenbezogene Daten im Auftrag seiner Kunden verarbeitet. Er gilt einheitlich für alle Kunden der Services Autracon AML und erfüllt die Anforderungen des Art. 28 Abs. 3 DSGVO.

​

§ 1 Geltungsbereich, Vertragsschluss und Rollen

(1) Anbieter. Auftragsverarbeiter („Anbieter“) ist die Betreiberin von Autracon: Auerbach Transformation Consulting Ltd., 71–75 Shelton Street, London WC2H 9JQ, Vereinigtes Königreich (Companies House Nr. 15370784), handelnd durch ihre Zweigniederlassung Österreich, Schumanngasse 21/27, 1180 Wien, Österreich (Firmenbuch FN 622965 a).

(2) Kunde. Kunde und Verantwortlicher im Sinne der DSGVO ist, wer mit dem Anbieter einen Vertrag über die Nutzung eines Service schließt („Hauptvertrag“, z. B. AGB samt Bestellung).

(3) Vertragsschluss. Dieser AVV ist Bestandteil des Hauptvertrags und gilt mit dessen Abschluss als vereinbart, ohne gesonderte Unterzeichnung. Die elektronische Form genügt (Art. 28 Abs. 9 DSGVO). Auf Anfrage stellt der Anbieter eine von ihm gezeichnete Fassung in Textform bereit.

(4) Rangfolge. Bei Widersprüchen geht dieser AVV dem Hauptvertrag in allen Fragen des Datenschutzes vor. Vertrags- oder AVV-Muster des Kunden gelten nur, wenn der Anbieter ihnen ausdrücklich in Textform zustimmt.

(5) Verantwortung des Kunden. Der Kunde bleibt für die Erfüllung seiner eigenen gesetzlichen Pflichten verantwortlich, insbesondere seiner geldwäscherechtlichen Sorgfalts-, Dokumentations- und Meldepflichten. Der Anbieter stellt Werkzeuge zur Entscheidungsunterstützung bereit und übernimmt diese Pflichten nicht.

(6) Nicht erfasste Verarbeitungen. Nicht Gegenstand dieses AVV sind Verarbeitungen, für die der Anbieter selbst Verantwortlicher ist. Dazu zählen insbesondere Vertrags-, Abrechnungs- und Kontaktdaten des Kunden und seiner Nutzer, der Betrieb der Websites und die Erfüllung eigener gesetzlicher Pflichten. Hierfür gilt die Datenschutzerklärung des Anbieters.

(7) Finanzunternehmen. Ist der Kunde ein Finanzunternehmen im Sinne der Verordnung (EU) 2022/2554 (DORA), setzt die Nutzung eine gesonderte Vereinbarung voraus. Dieser AVV ist keine vertragliche Vereinbarung im Sinne von Art. 30 DORA.

​

§ 2 Gegenstand, Art, Zweck und Dauer der Verarbeitung

Der Anbieter verarbeitet Auftragsdaten ausschließlich, um die vom Kunden beauftragten Prüfungen durchzuführen. Die Einzelheiten regelt Anlage 1.

(1) Gegenstand. Der Anbieter führt für den Kunden automatisierte Prüfungen durch: Identitätsprüfung (KYC), Abgleich mit Sanktions- und PEP-Listen, Erfassung wirtschaftlich Berechtigter und risikobasierte Aufbereitung zur Erfüllung geldwäscherechtlicher Sorgfaltspflichten des Kunden.

(2) Ablauf. Die betroffene Person startet die Prüfung, indem sie die Einladung über den individuellen Link annimmt, den ihr der Kunde zur Verfügung stellt. Sie übermittelt ihre Angaben und Nachweise direkt über die Plattform. Der Anbieter gleicht sie mit den in Anlage 3 genannten Diensten und Quellen ab und übermittelt dem Kunden das Ergebnis als Bericht an die hinterlegte E-Mail-Adresse.

(3) Art der Verarbeitung. Erheben, Erfassen, Speichern, Abgleichen, Auswerten, Zusammenführen zu einem Prüfergebnis, Übermitteln an den Kunden und Löschen.

(4) Zweck. Die Verarbeitung dient ausschließlich der Erbringung der Services gegenüber dem Kunden.

(5) Dauer und Ort. Die Verarbeitung dauert so lange wie der Hauptvertrag und darüber hinaus bis zur Rückgabe und Löschung nach § 11. Der Anbieter erbringt die Leistungen von Österreich aus; Unterauftragsverarbeiter und deren Verarbeitungsorte nennt Anlage 3.

​

§ 3 Weisungen des Kunden

Der Anbieter verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in Drittländer.

(1) Dokumentierte Weisungen. Die Weisungen ergeben sich aus dem Hauptvertrag, diesem AVV und den Bestellungen und Einstellungen des Kunden in den Services. Stellt der Kunde einen Einladungslink zur Verfügung, gilt das als Weisung, die darüber gestartete Prüfung im gebuchten Umfang durchzuführen.

(2) Einzelweisungen. Ergänzende Weisungen erteilt der Kunde in Textform an die in § 5 Abs. 5 genannte Kontaktadresse. Weisungen außerhalb des vereinbarten Leistungsumfangs behandelt der Anbieter als Änderungswunsch; er kann sie ablehnen oder von einer angemessenen Vergütung abhängig machen.

(3) Gesetzliche Verarbeitungspflichten. Ist der Anbieter nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er dem Kunden diese Anforderung vor der Verarbeitung mit. Das gilt nicht, wenn das betreffende Recht eine solche Mitteilung wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(4) Rechtswidrige Weisungen. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich. Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert. Offensichtlich rechtswidrige Weisungen führt der Anbieter nicht aus.

(5) Anonymisierte Kennzahlen. Der Kunde weist den Anbieter an, aus den Auftragsdaten anonymisierte Kennzahlen zu bilden, etwa Durchlaufzeiten, Trefferquoten und Fehlerraten. Diese dürfen weder Rückschlüsse auf betroffene Personen noch auf den Kunden zulassen und dienen ausschließlich dem sicheren Betrieb und der Verbesserung der Services.

​

§ 4 Pflichten des Kunden

Der Kunde ist als Verantwortlicher für die Rechtmäßigkeit der beauftragten Verarbeitung verantwortlich.

(1) Rechtsgrundlage. Der Kunde stellt sicher, dass für jede beauftragte Prüfung eine Rechtsgrundlage besteht. Soweit besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, etwa biometrische Daten beim Gesichtsabgleich) oder Daten nach Art. 10 DSGVO betroffen sind, stellt er auch die dort geforderten Voraussetzungen sicher. Das gilt auch für die Eigenverwendung durch Veriff nach § 6 Abs. 6.

(2) Einwilligungen im Prüfprozess. Soweit im Einladungsprozess Einwilligungen oder Bestätigungen der betroffenen Person eingeholt werden, geschieht dies im Namen des Kunden. Der Anbieter dokumentiert sie und stellt sie dem Kunden auf Anfrage zur Verfügung.

(3) Informationspflichten. Der Kunde informiert die betroffenen Personen nach Art. 13 und 14 DSGVO über die Verarbeitung, einschließlich des Einsatzes des Anbieters und der Eigenverwendung durch Veriff nach § 6 Abs. 6. Der Anbieter kann ihn dabei mit Mustertexten und Hinweisen im Einladungsprozess unterstützen.

(4) Erforderlichkeit und Zweckbindung. Der Kunde veranlasst Prüfungen nur, soweit sie für den jeweiligen Zweck erforderlich sind, und verwendet die Ergebnisse nur für diesen Zweck.

(5) Empfangsadressen und Zugänge. Der Kunde verantwortet die Richtigkeit der hinterlegten Empfangsadressen sowie die Sicherheit seiner Postfächer und Zugänge. Berichte gehen ausschließlich an die vom Kunden hinterlegte Adresse.

(6) Mitteilungspflicht. Der Kunde informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

​

§ 5 Pflichten des Anbieters

Der Anbieter verarbeitet Auftragsdaten vertraulich, sicher und ausschließlich für den Kunden.

(1) Vertraulichkeit. Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO). Er verpflichtet sie zudem auf das Datengeheimnis nach § 6 DSG; die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus.

(2) Sicherheit der Verarbeitung. Der Anbieter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie an den Stand der Technik anpassen, sofern das Schutzniveau nicht sinkt; wesentliche Änderungen dokumentiert er.

(3) Keine eigenen Zwecke. Der Anbieter verwendet Auftragsdaten nicht für eigene Zwecke. Er verkauft sie nicht, gibt sie nicht an Dritte weiter, nutzt sie weder für Werbung noch zum Training von KI-Modellen und führt Daten verschiedener Kunden nicht zusammen. Unberührt bleiben § 3 Abs. 5 und die Eigenverwendung durch Veriff nach § 6 Abs. 6.

(4) Verzeichnis. Der Anbieter führt ein Verzeichnis der im Auftrag durchgeführten Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO).

(5) Kontakt. Datenschutzanfragen und Weisungen richtet der Kunde an office@autracon.com. Ist ein Datenschutzbeauftragter benannt, veröffentlicht der Anbieter dessen Kontaktdaten auf den Websites der Services.

(6) Behörden und Dritte. Verlangt eine Behörde oder ein Dritter Auftragsdaten, verweist der Anbieter an den Kunden und informiert diesen unverzüglich, soweit dies gesetzlich zulässig ist. Er gibt Auftragsdaten nur heraus, wenn er dazu gesetzlich verpflichtet ist.

(7) Aufsichtsbehörden. Der Anbieter informiert den Kunden unverzüglich über Kontrollen und Maßnahmen einer Aufsichtsbehörde, soweit sie Auftragsdaten betreffen. Er unterstützt den Kunden bei der Beantwortung behördlicher Anfragen.

​

§ 6 Unterauftragsverarbeiter

Der Kunde genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter; über Änderungen informiert der Anbieter mindestens 7 Kalendertage im Voraus.

(1) Allgemeine Genehmigung. Der Kunde erteilt eine allgemeine schriftliche Genehmigung für die Hinzuziehung weiterer Auftragsverarbeiter nach Art. 28 Abs. 2 DSGVO. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter nennt Anlage 3.

(2) Änderungen. Der Anbieter informiert den Kunden mindestens 7 Kalendertage vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters per E-Mail an die hinterlegte Adresse. Kündigt ein Unterauftragsverarbeiter Änderungen bei seinen eigenen Auftragsverarbeitern an, leitet der Anbieter diese Mitteilung spätestens am folgenden Werktag weiter; insoweit gilt die Ankündigungsfrist des Unterauftragsverarbeiters. Der Kunde kann binnen 7 Kalendertagen nach Zugang aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Einigen sich die Parteien nicht, kann der Kunde den betroffenen Service mit sofortiger Wirkung kündigen.

(3) Dringende Fälle. Ist ein Wechsel zur Abwehr einer Gefahr für die Sicherheit oder Verfügbarkeit der Services dringend erforderlich, kann der Anbieter die Frist verkürzen. Das Widerspruchsrecht nach Abs. 2 bleibt bestehen.

(4) Pflichten der Unterauftragsverarbeiter. Der Anbieter wählt Unterauftragsverarbeiter sorgfältig aus. Er erlegt ihnen vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die dieser AVV vorsieht, einschließlich hinreichender Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Ausgenommen ist die Eigenverwendung durch Veriff nach Abs. 6. Für die Einhaltung dieser Pflichten haftet der Anbieter gegenüber dem Kunden.

(5) Keine Unterauftragsverarbeitung. Keine Unterauftragsverarbeitung sind Nebenleistungen ohne Zugriff auf Auftragsdaten sowie Abfragen öffentlich zugänglicher Quellen wie Sanktionslisten (Anlage 3, Teil B).

(6) Eigenverwendung durch Veriff. Nach ihrem Data Processing Addendum darf Veriff Auftragsdaten, soweit gesetzlich zulässig, auch für eigene Betriebszwecke verwenden. Dazu zählen die Erfüllung eigener rechtlicher Pflichten, die Durchsetzung und Abwehr von Rechtsansprüchen, die Entwicklung, Prüfung und Verbesserung ihres Dienstes einschließlich maschinellen Lernens (Annotation, Tests und Training), Betrugsprävention sowie anonymisierte Statistiken und Forschung. Das kann auch Ausweis- und Gesichtsbilder, Videos und biometrische Gesichtsdaten umfassen. Mit diesem AVV weist der Kunde den Anbieter an, Veriff zu diesen Bedingungen einzusetzen; für Rechtsgrundlage und Information der betroffenen Personen gilt § 4 Abs. 1 und 3.

 

§ 7 Übermittlung in Drittländer

Auftragsdaten verlassen die EU und den EWR nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(1) Angemessenheitsbeschlüsse. Zulässig ist die Verarbeitung in Ländern, für die ein Angemessenheitsbeschluss der Europäischen Kommission besteht (Art. 45 DSGVO). Das umfasst das Vereinigte Königreich sowie in den USA Empfänger, die unter dem EU-U.S. Data Privacy Framework zertifiziert sind.

(2) Sonstige Drittländer. Im Übrigen erfolgt eine Übermittlung nur auf Grundlage geeigneter Garantien nach Art. 46 DSGVO, insbesondere der Standardvertragsklauseln der Kommission (Durchführungsbeschluss (EU) 2021/914), samt erforderlicher Zusatzmaßnahmen.

(3) Weisung und Transparenz. Mit diesem AVV weist der Kunde den Anbieter an, Auftragsdaten im Rahmen der in Anlage 3 ausgewiesenen Übermittlungen zu übermitteln. Anlage 3 nennt für jeden Unterauftragsverarbeiter Verarbeitungsort und Übermittlungsgrundlage. Soweit der Anbieter selbst Auftragsdaten im Vereinigten Königreich verarbeitet, gilt Abs. 1.

​

§ 8 Rechte betroffener Personen

Der Anbieter unterstützt den Kunden bei Anträgen betroffener Personen nach Art. 15 bis 22 DSGVO (Art. 28 Abs. 3 lit. e DSGVO).

(1) Unterstützung. Auf Weisung des Kunden berichtigt, löscht oder beschränkt der Anbieter Auftragsdaten. Er stellt die zu einer Prüfung gespeicherten Daten in einem gängigen elektronischen Format bereit.

(2) Direkte Anfragen. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er das Anliegen unverzüglich an den Kunden weiter, sofern eine Zuordnung möglich ist. Er beantwortet es nur auf Weisung des Kunden und darf die Person an den Kunden verweisen.

(3) Aufwand. Die Unterstützung im Rahmen der Standardfunktionen der Services ist kostenfrei. Darüber hinausgehenden Aufwand kann der Anbieter angemessen verrechnen, sofern er nicht auf einem Verstoß des Anbieters beruht.

​

§ 9 Datenschutzverletzungen und weitere Unterstützung

Der Anbieter meldet dem Kunden jede Verletzung des Schutzes von Auftragsdaten unverzüglich, spätestens binnen 48 Stunden nach Kenntnis.

(1) Inhalt der Meldung. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen. Fehlende Angaben reicht der Anbieter unverzüglich nach.

(2) Eindämmung. Der Anbieter ergreift unverzüglich Maßnahmen, um die Verletzung einzudämmen und nachteilige Folgen zu mindern, und stimmt weitere Schritte mit dem Kunden ab.

(3) Meldungen an Behörden und Betroffene. Meldungen an die Aufsichtsbehörde (Art. 33 DSGVO) und Benachrichtigungen betroffener Personen (Art. 34 DSGVO) nimmt der Kunde vor; der Anbieter unterstützt ihn dabei. Im Namen des Kunden meldet der Anbieter nur auf dessen Weisung.

(4) Kein Anerkenntnis. Eine Meldung nach diesem Paragrafen ist kein Anerkenntnis eines Verschuldens oder einer Haftung.

(5) Folgenabschätzung und Konsultation. Der Anbieter stellt dem Kunden die Informationen bereit, die dieser für eine Datenschutz-Folgenabschätzung und eine vorherige Konsultation der Aufsichtsbehörde benötigt (Art. 35 und 36 DSGVO). Dazu zählen insbesondere die Beschreibung der Verarbeitung, der Unterauftragsverarbeiter und der Maßnahmen nach Anlage 2.

​

§ 10 Nachweise und Kontrollen

Der Anbieter weist die Einhaltung dieses AVV vorrangig durch Dokumente nach; Inspektionen sind nach Ankündigung möglich.

(1) Nachweise. Der Anbieter stellt dem Kunden auf Anfrage alle Informationen bereit, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO). Dazu zählen insbesondere die aktuellen Anlagen 2 und 3 sowie vorhandene Zertifikate und Prüfberichte des Anbieters und seiner Unterauftragsverarbeiter.

(2) Inspektionen. Reichen diese Nachweise nicht aus, kann der Kunde Inspektionen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen, der kein Wettbewerber des Anbieters ist. Inspektionen sind mindestens 30 Tage im Voraus anzukündigen, finden zu üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören.

(3) Häufigkeit. Eine Inspektion pro Kalenderjahr ist zulässig. Weitere Inspektionen sind zulässig nach einer Datenschutzverletzung, bei begründeten Anhaltspunkten für einen Verstoß oder auf Anordnung einer Aufsichtsbehörde; dann genügt eine angemessen kürzere Ankündigung.

(4) Unterauftragsverarbeiter. Rechenzentren und Systeme der Unterauftragsverarbeiter werden durch Vorlage ihrer Zertifikate, Prüfberichte oder Dokumentationen kontrolliert.

(5) Kosten. Jede Partei trägt ihre eigenen Kosten. Für Inspektionen kann der Anbieter seinen Aufwand angemessen verrechnen, es sei denn, die Inspektion ergibt einen wesentlichen Verstoß des Anbieters.

 

§ 11 Rückgabe und Löschung

Der Anbieter löscht Auftragsdaten nach den Speicherfristen der Anlage 1, spätestens 60 Tage nach Vertragsende. Gesetzliche Aufbewahrungspflichten erfüllt der Kunde selbst.

(1) Laufende Löschung. Während der Vertragslaufzeit löscht der Anbieter Auftragsdaten nach Ablauf der Standard-Speicherfristen der Anlage 1. Abweichende Fristen gelten nur, wenn der Kunde sie in Textform anweist oder eine Archivierung vereinbart ist.

(2) Vertragsende. Nach Ende des Hauptvertrags kann der Kunde binnen 30 Tagen die Herausgabe seiner Berichte und Nachweise in einem gängigen Format verlangen. Danach löscht der Anbieter sämtliche Auftragsdaten binnen weiterer 30 Tage, sofern keine Speicherpflicht nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht (Art. 28 Abs. 3 lit. g DSGVO).

(3) Sicherungskopien und Protokolle. Kopien in Datensicherungen und Protokollen werden im Rahmen der regulären Löschzyklen der eingesetzten Systeme entfernt. Bis dahin werden sie nicht weiter verarbeitet.

(4) Aufbewahrungspflichten des Kunden. Gesetzliche Aufbewahrungspflichten des Kunden, insbesondere geldwäscherechtliche, erfüllt der Kunde selbst. Er sichert die dafür benötigten Berichte vor Ablauf der Fristen nach Abs. 1 und 2 oder vereinbart mit dem Anbieter eine gesonderte Archivierung.

(5) Bestätigung. Auf Verlangen bestätigt der Anbieter die Löschung in Textform.

(6) Eigenverwendung durch Veriff. Soweit Veriff Auftragsdaten nach § 6 Abs. 6 für eigene Zwecke verwendet, richten sich Speicherung und Löschung nach den Bedingungen von Veriff. Die Fristen dieses Paragrafen und der Anlage 1 gelten dafür nicht.

​

§ 12 Entscheidungsunterstützung und automatisierte Ergebnisse

Die Services liefern Grundlagen für Entscheidungen des Kunden; sie entscheiden nicht über Abschluss oder Ablehnung eines Vertrags.

(1) Ergebnisse. Die Services erzeugen Prüfergebnisse, Treffer, Kennzahlen und Einstufungen, etwa eine Risikoeinstufung. Sie treffen keine Entscheidung über Abschluss, Durchführung oder Beendigung eines Vertrags mit der betroffenen Person.

(2) Menschliche Entscheidung. Der Kunde stellt sicher, dass Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung für die betroffene Person von einer natürlichen Person unter Würdigung aller Umstände getroffen werden. Stützt der Kunde eine solche Entscheidung maßgeblich auf automatisiert erzeugte Ergebnisse, verantwortet er die Einhaltung von Art. 22 DSGVO.

(3) Watchlist-Treffer. Treffer in Sanktions- und PEP-Listen sind mögliche Übereinstimmungen. Der Kunde prüft sie vor einer Entscheidung auf Personenidentität.

(4) Erläuterung der Logik. Der Anbieter stellt dem Kunden auf Anfrage aussagekräftige Informationen über die Logik der Einstufungen bereit, soweit der Kunde sie für Art. 13 Abs. 2 lit. f, Art. 14 Abs. 2 lit. g oder Art. 15 Abs. 1 lit. h DSGVO benötigt. Geschäftsgeheimnisse des Anbieters und seiner Unterauftragsverarbeiter bleiben gewahrt, soweit dies rechtlich zulässig ist.

​

§ 13 Haftung

Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO; untereinander gilt der Hauptvertrag.

(1) Außenverhältnis. Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.

(2) Innenverhältnis. Zwischen den Parteien gelten die Haftungsregelungen des Hauptvertrags, soweit gesetzlich zulässig.

(3) Freistellung. Der Kunde stellt den Anbieter von Ansprüchen Dritter frei, soweit diese auf einem schuldhaften Verstoß des Kunden gegen seine Pflichten aus diesem AVV beruhen.

​

§ 14 Laufzeit, Änderungen und Schlussbestimmungen

Dieser AVV gilt für die Dauer des Hauptvertrags; Änderungen kündigt der Anbieter 30 Tage im Voraus an.

(1) Laufzeit. Pflichten, die ihrer Natur nach fortwirken, insbesondere Vertraulichkeit und Löschung, gelten über das Vertragsende hinaus.

(2) Änderungen. Der Anbieter kann diesen AVV ändern, soweit dies wegen geänderter Rechtslage, behördlicher oder gerichtlicher Vorgaben oder zur Aufnahme neuer Services erforderlich ist und das Schutzniveau nicht sinkt. Er teilt Änderungen mindestens 30 Tage vor Inkrafttreten in Textform mit und weist auf die Folgen eines ausbleibenden Widerspruchs hin. Widerspricht der Kunde nicht fristgerecht, gilt die Änderung als angenommen; bei Widerspruch gilt die bisherige Fassung fort, und jede Partei kann den betroffenen Service kündigen.

(3) Fassungen. Der Anbieter hält die geltende und alle früheren Fassungen dieses AVV auf den Websites der Services abrufbar.

(4) Form. Änderungen und Ergänzungen bedürfen der Textform.

(5) Teilunwirksamkeit. Ist eine Bestimmung unwirksam, bleibt der übrige AVV wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

(6) Recht und Gerichtsstand. Es gelten das anwendbare Recht und der Gerichtsstand des Hauptvertrags; die DSGVO bleibt unberührt. Soweit auf die Verarbeitung zusätzlich das Datenschutzrecht des Vereinigten Königreichs anwendbar ist, gilt dieser AVV entsprechend.

(7) Fassung. Fassung 1.0. Sie gilt ab ihrer Veröffentlichung auf den Websites der Services.

​

Anlage 1 – Verarbeitungsdetails

Anlage 1 legt fest, wessen Daten der Anbieter zu welchem Zweck verarbeitet und wie lange er sie speichert.

Zweck

Unterstützung der geldwäscherechtlichen Sorgfaltspflichten des Kunden: Identifizierung und Überprüfung der Identität, Feststellung wirtschaftlich Berechtigter, PEP- und Sanktionsprüfung, Dokumentation

Betroffene Personen

Vertragspartner und Interessenten des Kunden (z. B. Käufer, Verkäufer), deren Vertreter und Bevollmächtigte, wirtschaftlich Berechtigte; gelistete Personen, soweit als möglicher Treffer ausgewiesen

Datenkategorien

Identitätsdaten (Name, Geburtsdatum und -ort, Staatsangehörigkeit, Anschrift); Kontaktdaten; Ausweisdaten und Bilder des Ausweisdokuments; Gesichtsbild oder Video zur Lebenderkennung und zum Abgleich mit dem Ausweisfoto; Angaben zu Beruf, Zweck der Geschäftsbeziehung, Herkunft der Mittel und zum Geschäft (z. B. Objekt, Betrag, Zahlungsart); Angaben zu wirtschaftlich Berechtigten und Kontrollstrukturen; PEP-Status und Sanktionslisten-Treffer; Risikoeinstufung und Prüfergebnis; technische Daten (IP-Adresse, Geräte- und Sitzungsdaten, Zeitstempel)

Besondere Kategorien

Biometrische Daten zur eindeutigen Identifizierung beim Gesichtsabgleich (Art. 9 DSGVO); PEP-Angaben können politische Funktionen offenlegen; werden Negativmedien geprüft, können Daten nach Art. 10 DSGVO betroffen sein

Standard-Speicherfrist

Bis zum Ende des Hauptvertrags, längstens fünf Jahre nach Abschluss der jeweiligen Prüfung

Eine Prüfung ist abgeschlossen, sobald der Bericht an den Kunden übermittelt wurde. Nach Ablauf der Speicherfrist löscht der Anbieter die Daten nach § 11.

​

Anlage 2 – Technische und organisatorische Maßnahmen

Der Anbieter schützt Auftragsdaten mit den folgenden Maßnahmen nach Art. 32 DSGVO und überprüft sie jährlich sowie bei wesentlichen Systemänderungen.

Zutrittskontrolle

Kein eigener Serverbetrieb; Hosting ausschließlich in Rechenzentren der Unterauftragsverarbeiter (Anlage 3) mit deren physischen Schutzmaßnahmen. Arbeitsplätze in verschlossenen Räumen; Endgeräte mit Festplattenverschlüsselung und automatischer Bildschirmsperre.

Zugangskontrolle

Personalisierte Konten, keine geteilten Zugangsdaten; Zwei-Faktor-Authentifizierung für alle Administrationszugänge (Hosting, Automatisierung, Identitätsprüfung, E-Mail); Passwortmanager; Entzug von Zugängen beim Ausscheiden.

Zugriffskontrolle

Berechtigungen nach dem Need-to-know-Prinzip; Datensammlungen mit Auftragsdaten nur serverseitig zugänglich, ohne Lese- oder Schreibrechte für Website-Besucher; API-Schlüssel und Tokens ausschließlich in einem Secrets-Manager; keine öffentlich erreichbaren Test- oder Debug-Schnittstellen im Produktivbetrieb.

Trennungskontrolle

Jede Prüfung erhält eine eindeutige Vorgangskennung und ist genau einem Kunden zugeordnet; keine kundenübergreifende Zusammenführung.

Weitergabekontrolle und Verschlüsselung

Übertragung ausschließlich über TLS-verschlüsselte Verbindungen; Prüfung von Signatur oder Token eingehender Webhooks; verschlüsselte Speicherung bei den Unterauftragsverarbeitern; Berichte nur an die vom Kunden hinterlegte Adresse.

Eingabekontrolle

Protokollierung der Verarbeitungsschritte je Prüfung mit Zeitstempel (Eingang, Abgleich, Ergebnis, Versand).

Verfügbarkeit und Belastbarkeit

Betrieb auf redundanter Cloud-Infrastruktur der Unterauftragsverarbeiter; Fehlerbehandlung und Überwachung fehlgeschlagener Abläufe in den Automatisierungen.

Wiederherstellbarkeit

Nutzung der Sicherungs- und Wiederherstellungsfunktionen der Hosting-Anbieter.

Datenminimierung und Löschung

Erhebung nur der für die beauftragte Prüfung erforderlichen Daten; automatisierte Löschung nach Anlage 1; Automatisierungen speichern keine Nutzdaten in Ausführungsprotokollen, soweit technisch einstellbar.

Auftragskontrolle

Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern; Auswahl nach Sicherheitsnachweisen; dokumentierte Weisungen.

Organisation und Überprüfung

Verpflichtung aller Beteiligten auf das Datengeheimnis; Verfahren für Datenschutzverletzungen mit Meldung an Kunden binnen 48 Stunden; jährliche Überprüfung dieser Maßnahmen.

​

Anlage 3 – Unterauftragsverarbeiter und Datenquellen

Der Anbieter setzt die in Teil A genannten Unterauftragsverarbeiter ein; Teil B nennt Datenquellen, die keine Unterauftragsverarbeiter sind (§ 6 Abs. 5).

 

Teil A – Unterauftragsverarbeiter

Wix.com Ltd., Israel

Hosting der Plattform, Datenbank, Formulare, Kontaktverwaltung, Versand von Einladungs-E-Mails

Israel; weitere Standorte laut Unterauftragsverarbeiterliste von Wix

Angemessenheitsbeschluss Israel (2011/61/EU); Weiterübermittlung nach Angemessenheitsbeschluss oder Standardvertragsklauseln

Veriff OÜ, Estland

Identitäts- und Dokumentenprüfung, Gesichtsabgleich und Lebenderkennung, PEP- und Sanktionsscreening; Eigenverwendung nach § 6 Abs. 6

Verarbeitung im EWR; Weiterübermittlung nach Angemessenheitsbeschluss oder Standardvertragsklauseln

Celonis, Inc. (Make), USA

Workflow-Automatisierung: Datenabgleich, Versand der Berichte

EU-Rechenzentren

EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914)

Microsoft Ireland Operations Limited, Irland

Zustellung der Berichte per E-Mail und Ablage von Auftragsdaten in Excel-Listen (Microsoft 365, OneDrive for Business)

Region des Microsoft-365-Mandanten: EU (EU-Datengrenze) oder Vereinigtes Königreich

Verarbeitung in der EU; im Vereinigten Königreich Angemessenheitsbeschluss; Weiterübermittlung an Microsoft Corporation (USA) nach EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914)

Weitere Auftragsverarbeiter dieser Unterauftragsverarbeiter ergeben sich aus deren verlinkten Unterlagen.

 

Teil B – Datenquellen ohne Auftragsverarbeitung

Sanktionslisten (EU, UN, national) und PEP-Datenbestände, abgefragt über Veriff

Listeneinträge und mögliche Treffer