Vereinbarung zur Auftragsverarbeitung (AVV) der filehub GmbH gemäß Art. 28 DSGVO

Präambel und Geltungsbereich

Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten im Auftrag des Kunden nach Art. 28 DSGVO. Sie ist Bestandteil jedes Vertrags über die in Anlage 1 beschriebenen Leistungen (Hauptvertrag) und wird mit dessen Abschluss vereinbart, ohne dass es einer gesonderten Unterzeichnung bedarf.

Vertragsparteien

• Verantwortlicher ist das Unternehmen, mit Sitz, vertreten durch eine zeichnungsberechtigte Person (im Folgenden „Kunde“).

• Auftragsverarbeiter ist die filehub GmbH, UdS Campus Starterzentrum, Geb. A1 2, 66123 Saarbrücken (Amtsgericht Saarbrücken, HRB 111041) (im Folgenden „Auftragnehmer“).

Bezieht der Kunde Leistungen der filehub GmbH und der workcentrix GmbH, schließt er in der Regel mit jeder Gesellschaft einen eigenen Hauptvertrag. Jede Gesellschaft ist dann für ihre Leistungen eigenständiger Auftragsverarbeiter; für Leistungen der workcentrix GmbH gilt deren eigene Vereinbarung zur Auftragsverarbeitung. Erbringt die workcentrix GmbH Leistungen ohne eigenen Vertrag mit dem Kunden im Rahmen eines Hauptvertrags mit der filehub GmbH, ist sie insoweit Unterauftragsverarbeiter des Auftragnehmers (Anlage 3).

Im Fall von Widersprüchen geht diese Vereinbarung dem Hauptvertrag in allen Fragen des Datenschutzes vor. Begriffe wie „personenbezogene Daten“, „Verarbeitung“ oder „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung nach Art. 4 DSGVO.

§ 1 Gegenstand, Dauer, Art und Zweck

1. Gegenstand der Verarbeitung sind die Leistungen aus dem Hauptvertrag. Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

2. Der Auftragnehmer verarbeitet die Daten ausschließlich zur Erbringung dieser Leistungen. Eine Verarbeitung zu eigenen Zwecken findet nicht statt, mit Ausnahme der in § 7 geregelten Nutzung anonymisierter Merkmale.

3. Die Laufzeit dieser Vereinbarung entspricht der Laufzeit des Hauptvertrags. Sie endet nicht, solange der Auftragnehmer noch personenbezogene Daten des Kunden verarbeitet (z. B. während des Export-Fensters nach § 8).

4. Das Recht zur außerordentlichen Kündigung bleibt unberührt. Ein wichtiger Grund liegt insbesondere vor, wenn der Auftragnehmer schwerwiegend gegen diese Vereinbarung oder die DSGVO verstößt oder eine Weisung des Kunden nicht ausführt.

§ 2 Weisungen

1. Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen sind durch den Hauptvertrag, diese Vereinbarung und die Konfiguration der Dienste durch den Kunden (z. B. Empfänger, Schnittstellen, Regeln und Konfidenzschwellen) festgelegt.

2. Einzelweisungen erteilt der Kunde in Textform (E-Mail genügt) an support@filehub.one bzw. die im Hauptvertrag genannte Adresse. Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform. Der Auftragnehmer dokumentiert alle Einzelweisungen.

3. Ist der Auftragnehmer gesetzlich zu einer anderen Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO), teilt er dies dem Kunden vorher mit, sofern das Gesetz eine solche Mitteilung nicht verbietet.

4. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Kunden unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

5. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, werden als Änderungswunsch behandelt und können nach Aufwand vergütet werden.

§ 3 Pflichten des Auftragnehmers

1. Vertraulichkeit. Der Auftragnehmer setzt nur Personen ein, die schriftlich auf Vertraulichkeit verpflichtet und mit den Datenschutzvorschriften vertraut gemacht wurden. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

2. Sicherheit der Verarbeitung. Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 (TOM, veröffentlicht unter filehub.one/de/tom) beschrieben sind. Er darf sie an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und veröffentlicht die aktuelle Fassung der TOM.

3. Unterstützung. Der Auftragnehmer unterstützt den Kunden bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen, soweit ihm die erforderlichen Informationen vorliegen.

4. Datenschutzkontakt. Eine Pflicht zur Benennung eines Datenschutzbeauftragten besteht nicht. Ansprechpartner für den Datenschutz ist die Geschäftsführung unter datenschutz@filehub.one. Wird ein Datenschutzbeauftragter benannt, teilt der Auftragnehmer dessen Kontaktdaten mit.

5. Verarbeitungsverzeichnis. Der Auftragnehmer führt ein Verzeichnis der im Auftrag durchgeführten Verarbeitungen nach Art. 30 Abs. 2 DSGVO.

6. Behördliche Maßnahmen. Der Auftragnehmer informiert den Kunden unverzüglich über Kontrollen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diese Verarbeitung beziehen.

§ 4 Unterauftragsverarbeiter

1. Der Kunde erteilt die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.

2. Der Auftragnehmer informiert den Kunden mindestens 30 Tage vorab in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters.

3. Der Kunde kann der Änderung innerhalb von 14 Tagen nach Zugang aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Finden die Parteien keine Lösung, kann der Kunde den betroffenen Dienst zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich kündigen. Ohne fristgerechten Widerspruch gilt die Änderung als genehmigt.

4. Der Auftragnehmer wählt Unterauftragsverarbeiter unter Berücksichtigung ihrer TOM sorgfältig aus und verpflichtet sie vertraglich auf dieselben Datenschutzpflichten, die in dieser Vereinbarung festgelegt sind (Art. 28 Abs. 4 DSGVO).

5. Der Auftragnehmer haftet gegenüber dem Kunden für die Einhaltung der Pflichten durch seine Unterauftragsverarbeiter.

6. Keine Unterauftragsverhältnisse im Sinne dieser Regelung sind Nebenleistungen ohne Zugriff auf personenbezogene Daten des Kunden, etwa Telekommunikation, Post- und Transportdienste oder die Wartung von Hardware ohne Datenzugriff.

§ 5 Betroffenenrechte und Datenschutzverletzungen

1. Der Auftragnehmer unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Art. 12 bis 22 DSGVO. Soweit der Kunde Auskunft, Berichtigung, Export oder Löschung selbst über die Dienste vornehmen kann, ist dies vorrangig.

2. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Kunden weiter und beantwortet es nicht selbst.

3. Der Auftragnehmer meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden nachgereicht, sobald sie vorliegen.

4. Der Auftragnehmer trifft unverzüglich Maßnahmen zur Eindämmung und zur Minderung möglicher nachteiliger Folgen und unterstützt den Kunden bei Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen (Art. 33, 34 DSGVO).

5. Unterstützungsleistungen nach diesem Paragrafen, die nicht auf einen Verstoß des Auftragnehmers zurückgehen und über einen geringfügigen Aufwand hinausgehen, können nach den Stundensätzen des Hauptvertrags vergütet werden.

§ 6 Nachweise und Kontrollen

1. Der Auftragnehmer stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO).

2. Als Nachweis dienen vorrangig die TOM (Anlage 2), Zertifikate und Prüfberichte der Hosting-Partner, Berichte über Penetrationstests sowie – sobald vorhanden – eine Zertifizierung nach ISO/IEC 27001.

3. Reichen diese Nachweise im Einzelfall nicht aus, kann der Kunde eine Kontrolle vor Ort durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Kontrollen sind mindestens 14 Tage vorher anzukündigen, finden während der Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Prüfer, die in einem Wettbewerbsverhältnis zum Auftragnehmer stehen, kann dieser ablehnen.

4. Vor-Ort-Kontrollen finden höchstens einmal je Kalenderjahr statt, es sei denn, es besteht ein konkreter Anlass (z. B. eine Datenschutzverletzung). Die Rechenzentren der Hosting-Partner sind von der Vor-Ort-Kontrolle ausgenommen; hierfür gelten deren Zertifikate und Prüfberichte.

5. Der Auftragnehmer kann für den Aufwand anlassloser Kontrollen eine angemessene Vergütung verlangen.

6. Weitergehende Prüf- und Zugangsrechte, die für den Kunden aus aufsichtsrechtlichen Vorschriften folgen (z. B. Art. 30 DORA), werden im Hauptvertrag gesondert vereinbart.

§ 7 KI-Verarbeitung und anonymisierte Merkmale

1. Klassifikation und Extraktion in filehub und filehubIDP werden auf Systemen des Auftragnehmers in Deutschland gesteuert. Als Sprach- und OCR-Modell wird der in Anlage 3 genannte Anbieter eingesetzt. An das Modell werden nur die für die jeweilige Aufgabe erforderlichen Belegdaten übermittelt.

2. Personenbezogene Daten des Kunden werden weder vom Auftragnehmer noch von Unterauftragsverarbeitern zum Training allgemeiner Modelle verwendet. Mandantenbezogene Lerndaten (z. B. Vektoren) dienen ausschließlich dem jeweiligen Kunden und werden mit dessen Mandanten gelöscht.

3. Der Kunde weist den Auftragnehmer an, aus den verarbeiteten Belegen Merkmale ohne Personenbezug abzuleiten (z. B. Layout-Merkmale von Lieferantenbelegen) und diese mandantenübergreifend zur Verbesserung der Erkennungsqualität zu nutzen. Die Ableitung erfolgt nach einem dokumentierten Anonymisierungsverfahren, das eine Re-Identifizierung betroffener Personen mit vernünftigerweise einsetzbaren Mitteln ausschließt. Die abgeleiteten Merkmale sind keine personenbezogenen Daten und unterliegen nicht dieser Vereinbarung.

4. Die Nutzung nach Absatz 3 ist standardmäßig aktiviert. Der Kunde kann sie jederzeit in den Einstellungen von filehub deaktivieren oder in Textform widersprechen; ab diesem Zeitpunkt werden aus seinen Belegen keine Merkmale mehr abgeleitet. Bereits abgeleitete anonyme Merkmale bleiben davon unberührt.

5. KI-Ergebnisse sind Vorschläge. Eine automatische Weiterverarbeitung erfolgt nur nach den vom Kunden konfigurierten Regeln und Konfidenzschwellen. Automatisierte Entscheidungen im Sinne von Art. 22 DSGVO trifft der Auftragnehmer nicht.

§ 8 Löschung und Rückgabe

1. Nach Ende des Hauptvertrags kann der Kunde seine Daten innerhalb von 60 Tagen über die Exportfunktionen von filehub exportieren oder deren Herausgabe in einem gängigen Format verlangen.

2. Nach Ablauf dieser Frist löscht der Auftragnehmer alle personenbezogenen Daten des Kunden, einschließlich Kopien, Zugangsdaten und Lerndaten. Sicherungskopien laufen im Rahmen der rollierenden Aufbewahrung aus, sodass alle Daten spätestens 90 Tage nach Vertragsende vollständig gelöscht sind.

3. Auf Weisung des Kunden löscht der Auftragnehmer Daten auch vor Vertragsende oder vor Ablauf der Exportfrist.

4. Eine weitere Speicherung erfolgt nur, soweit der Auftragnehmer nach Unionsrecht oder deutschem Recht dazu verpflichtet ist. In diesem Fall wird die Verarbeitung auf den gesetzlichen Zweck beschränkt.

5. Die Löschung wird protokolliert und dem Kunden auf Anfrage in Textform bestätigt.

6. Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen (z. B. Protokolle), darf der Auftragnehmer über das Vertragsende hinaus entsprechend den Fristen in Anlage 2 aufbewahren.

§ 9 Ort der Verarbeitung

1. Die Verarbeitung findet ausschließlich in Mitgliedstaaten der EU bzw. des EWR statt. Das Hosting der Dienste erfolgt in Deutschland.

2. Eine Übermittlung in ein Drittland oder an eine internationale Organisation erfolgt nur auf dokumentierte Weisung des Kunden oder wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch einen Angemessenheitsbeschluss (einschließlich EU-US Data Privacy Framework) oder Standardvertragsklauseln.

3. Soweit Unterauftragsverarbeiter mit Sitz oder Konzernverbindung außerhalb der EU eingesetzt werden, sind die jeweiligen Garantien in Anlage 3 angegeben.

§ 10 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

2. Werden die Daten des Kunden beim Auftragnehmer durch Pfändung, Beschlagnahme, Insolvenz- oder Vergleichsverfahren oder sonstige Maßnahmen Dritter gefährdet, informiert der Auftragnehmer den Kunden unverzüglich und weist die Dritten darauf hin, dass die Hoheit über die Daten beim Kunden liegt.

3. Ein Zurückbehaltungsrecht an den Daten des Kunden ist ausgeschlossen.

4. Der Auftragnehmer kann diese Vereinbarung ändern, um sie an geänderte gesetzliche Anforderungen, behördliche Vorgaben oder geänderte Leistungen anzupassen, sofern das Schutzniveau für den Kunden nicht sinkt. Er teilt dem Kunden Änderungen mindestens 30 Tage vor Inkrafttreten in Textform mit. Änderungen an Unterauftragsverarbeitern richten sich nach § 4.

5. Sollte eine Bestimmung dieser Vereinbarung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, Saarbrücken.

Stand: 01.07.2026

Anhang 1: Beschreibung der Verarbeitung

Welche Dienste im Einzelfall gelten, ergibt sich aus dem Hauptvertrag.

Arten personenbezogener Daten

• Kontakt- und Stammdaten von Geschäftspartnern (Name, Anschrift, E-Mail, Telefon, Ansprechpartner)

• Inhalte von Dokumenten und Belegen (Rechnungen, Gutschriften, Lieferscheine, Korrespondenz)

• Buchungs- und Zahlungsdaten (Beträge, Bankverbindungen, Steuer-IDs)

• Benutzerdaten der Mitarbeiter des Kunden (Name, E-Mail, Rollen, Protokolldaten)

• Zugangsdaten zu Drittsystemen des Kunden

• Daten, die bei Support und Fernwartung auf Systemen des Kunden sichtbar werden

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Kunde stellt sicher, dass solche Daten nur in Ausnahmefällen enthalten sind (z. B. als Inhalt einzelner Belege) und informiert den Auftragnehmer, wenn dies regelmäßig der Fall ist.

Kategorien betroffener Personen

• Mitarbeiter und Benutzer des Kunden

• Lieferanten, Kunden und sonstige Geschäftspartner des Kunden sowie deren Ansprechpartner

• Sonstige Personen, deren Daten in Dokumenten des Kunden enthalten sind