Vereinbarung zur Auftragsverarbeitung

(1) Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch die Eichenquast UG (haftungsbeschränkt), Leopoldstraße 2–8, 32051 Herford („Auftragsverarbeiter“) im Auftrag des Kunden („Verantwortlicher“) bei der Nutzung von EQ Annotator. Sie ist Bestandteil der AGB und gilt ohne gesonderte Unterzeichnung mit deren Annahme.

(2) Die Vereinbarung gilt, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, einschließlich der Testphase und der Aufbewahrungszeit nach Vertragsende.

(1) Zweck: Bereitstellung des Dienstes EQ Annotator, also Speichern, Bearbeiten, Annotieren und Übertragen von Bildern zwischen dem Dienst und der Paligo-Instanz des Verantwortlichen, die Verwaltung der Nutzer seiner Organisation sowie Betrieb, Sicherung und Support.

(2) Arten von Daten:

• Bildinhalte (Screenshots und Grafiken), die beliebige darin sichtbare personenbezogene Daten enthalten können, sowie Annotationstexte
• Nutzerdaten der Organisation: Name, E-Mail-Adresse, Rolle, Einladungen
• Paligo-Zugangsdaten (Paligo-Adresse, Benutzername, API-Schlüssel) und Paligo-Bild- und Dokument-IDs
• Nutzungs- und Protokolldaten (Zeitpunkte, IP-Adressen, Versionsverlauf)

(3) Betroffene Personen: Beschäftigte und sonstige Nutzer des Verantwortlichen sowie Personen, deren Daten in den Bildern des Verantwortlichen sichtbar sind (z. B. Beschäftigte, Kunden oder Testpersonen in Software-Oberflächen).

(4) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung, sofern nicht gesondert vereinbart.

(5) Die Verarbeitung findet in der Europäischen Union statt. Eine Übermittlung in ein Drittland erfolgt nur nach Ziffer 6.

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen sind abschließend in den AGB, dieser Vereinbarung und der Nutzung der Funktionen des Dienstes durch den Verantwortlichen festgelegt. Weitere Weisungen erteilt der Verantwortliche in Textform.

(2) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich.

(3) Ist der Auftragsverarbeiter gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er dies dem Verantwortlichen vorher mit, sofern das Gesetz dies nicht verbietet.

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(1) Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.

(2) Er darf die Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

(1) Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Der Verantwortliche erteilt eine allgemeine Genehmigung für weitere oder andere Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vorher per E-Mail über jede beabsichtigte Änderung. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Können sich die Parteien nicht einigen, darf der Verantwortliche den Vertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten.

(4) Eine Übermittlung in Drittländer oder ein Zugriff aus Drittländern ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, z. B. durch einen Angemessenheitsbeschluss oder EU-Standardvertragsklauseln.

(5) Die Paligo AB ist kein Unterauftragsverarbeiter des Auftragsverarbeiters. Paligo wird vom Verantwortlichen selbst beauftragt; Daten werden auf Weisung des Verantwortlichen an seine Paligo-Instanz übertragen.

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO). Wenden sich Betroffene direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich weiter.

(2) Er unterstützt den Verantwortlichen bei den Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die Adresse des Inhabers der Organisation. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.

(1) Während der Laufzeit kann der Verantwortliche seine Daten jederzeit im Dienst exportieren oder löschen. Annotierte Bilder liegen zusätzlich in seiner Paligo-Instanz.

(2) Nach Vertragsende löscht der Auftragsverarbeiter die Daten nach Ablauf von 90 Tagen, auf Verlangen des Verantwortlichen früher, sofern keine gesetzliche Pflicht zur Speicherung besteht.

(3) Kopien in Datensicherungen werden im regulären Rotationszyklus überschrieben, spätestens 30 Tage nach der Löschung im Dienst.

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind.

(2) Der Verantwortliche kann Kontrollen, auch vor Ort, nach rechtzeitiger Ankündigung (mindestens vier Wochen) während der Geschäftszeiten durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, in der Regel höchstens einmal im Kalenderjahr. Kontrollen in den Rechenzentren der Unterauftragsverarbeiter werden durch deren Zertifizierungen und Prüfberichte ersetzt.

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.

(2) Bei Widersprüchen zwischen dieser Vereinbarung und den AGB geht diese Vereinbarung in Fragen des Datenschutzes vor.

(3) Maßgeblich ist die deutsche Fassung.

Zutrittskontrolle

• Die Server und Speicher stehen in Rechenzentren der Hetzner Online GmbH in Deutschland (Nürnberg, Falkenstein), zertifiziert nach ISO/IEC 27001, mit Zutrittskontrolle, Videoüberwachung und Wachpersonal.
• Der Auftragsverarbeiter betreibt keine eigenen Serverräume.

Zugangs- und Zugriffskontrolle

• Administrativer Zugriff auf die Server nur durch den Geschäftsführer, über SSH; Root-Anmeldung nur mit Schlüssel.
• Firewall auf dem Server, nur die nötigen Ports sind offen; automatische Sperre bei wiederholten Fehlversuchen (fail2ban).
• Passwörter der Nutzer nur als bcrypt-Hash gespeichert; Sitzungstoken werden nur als Hash gespeichert.
• Strikte Trennung der Organisationen in der Anwendung; Rollen (Inhaber, Administrator, Mitglied) innerhalb einer Organisation.

Weitergabekontrolle und Verschlüsselung

• Alle Verbindungen sind per TLS verschlüsselt (HTTPS).
• Paligo-API-Schlüssel werden mit AES-256-GCM verschlüsselt gespeichert.
• Datensicherungen werden vor der Übertragung zum externen Backup-Speicher clientseitig verschlüsselt; der Speicheranbieter hat keinen Zugriff auf die Schlüssel.

Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung der Datenbank (Aufbewahrung 14 Tage) und tägliche verschlüsselte externe Sicherung bei einem zweiten Anbieter in der EU (Aufbewahrung 30 Tage).
• Automatische Sicherheitsupdates des Betriebssystems; Überwachung des Dienstes mit täglichem Statusbericht.
• Getrennte Test-Umgebung, damit Änderungen vor dem Einsatz geprüft werden.

Trennung, Löschung und Organisation

• Mandantentrennung über Organisations-IDs auf allen Datenzugriffen.
• Server-Protokolle werden nach spätestens 14 Tagen gelöscht.
• Auftragskontrolle: Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO.

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Server-Hosting (Nürnberg), Objektspeicher für Bilder (Falkenstein), E-Mail-Versand. Ort der Verarbeitung: Deutschland.
• Backblaze, Inc., San Mateo, USA — externe Datensicherung, ausschließlich clientseitig verschlüsselt. Speicherort: Region EU Central (Amsterdam, Niederlande). Grundlage für einen möglichen Zugriff aus den USA: EU-Standardvertragsklauseln (Bestandteil des Auftragsverarbeitungsvertrags von Backblaze).

Stripe verarbeitet ausschließlich Abrechnungsdaten des Kunden und ist insoweit Auftragsverarbeiter bzw. Verantwortlicher im Verhältnis zum Anbieter, nicht Unterauftragsverarbeiter für die Daten nach Ziffer 2. Siehe Datenschutzerklärung.

(1) This agreement governs the processing of personal data by Eichenquast UG (haftungsbeschränkt), Leopoldstraße 2–8, 32051 Herford, Germany ("Processor") on behalf of the customer ("Controller") when using EQ Annotator. It forms part of the Terms of Service and applies upon their acceptance without a separate signature.

(2) The agreement applies as long as the Processor processes personal data on behalf of the Controller, including the trial and the retention period after the contract ends.

(1) Purpose: providing the EQ Annotator service — storing, editing, annotating and transferring images between the Service and the Controller's Paligo instance, managing the users of its organisation, and operation, backup and support.

(2) Types of data:

• Image content (screenshots and graphics), which may contain any personal data visible in them, and annotation texts
• User data of the organisation: name, email address, role, invitations
• Paligo credentials (Paligo address, username, API key) and Paligo image and document IDs
• Usage and log data (timestamps, IP addresses, version history)

(3) Data subjects: employees and other users of the Controller, and persons whose data is visible in the Controller's images (e.g. employees, customers or test persons shown in software interfaces).

(4) Special categories of personal data (Art. 9 GDPR) are not subject to processing unless separately agreed.

(5) Processing takes place in the European Union. Data is transferred to a third country only as set out in section 6.

(1) The Processor processes the data only on documented instructions from the Controller. The instructions are conclusively set out in the Terms, this agreement and the Controller's use of the Service's functions. The Controller gives further instructions in text form.

(2) If the Processor believes an instruction violates data protection law, it informs the Controller without delay.

(3) If the Processor is legally required to process data otherwise, it informs the Controller beforehand unless the law prohibits this.

The Processor only uses persons who are bound to confidentiality or subject to a statutory duty of confidentiality.

(1) The Processor implements the technical and organisational measures under Art. 32 GDPR described in Annex 1.

(2) It may adapt these measures to technical progress, provided the level of protection is not reduced.

(1) The Controller approves the sub-processors listed in Annex 2.

(2) The Controller grants general authorisation for additional or replacement sub-processors. The Processor informs the Controller by email at least four weeks in advance of any intended change. The Controller may object within this period for good cause under data protection law. If the parties cannot agree, the Controller may terminate the contract as of the date of the change.

(3) The Processor contractually binds every sub-processor to the same data protection obligations.

(4) Transfers to, or access from, third countries are only permitted if the requirements of Art. 44 et seq. GDPR are met, e.g. by an adequacy decision or the EU Standard Contractual Clauses.

(5) Paligo AB is not a sub-processor of the Processor. The Controller engages Paligo itself; data is transferred to its Paligo instance on the Controller's instructions.

(1) The Processor assists the Controller with appropriate measures in responding to requests from data subjects (Art. 12–22 GDPR). If data subjects contact the Processor directly, it forwards the request without delay.

(2) It assists the Controller with the obligations under Art. 32–36 GDPR (security, breach notification, data protection impact assessment, prior consultation).

The Processor notifies the Controller of a personal data breach without undue delay, where possible within 48 hours of becoming aware of it, by email to the address of the organisation's owner. The notification contains, as far as known, the information under Art. 33(3) GDPR.

(1) During the term, the Controller can export or delete its data in the Service at any time. Annotated images are also stored in its Paligo instance.

(2) After the contract ends, the Processor deletes the data after 90 days, or earlier at the Controller's request, unless there is a legal obligation to retain it.

(3) Copies in backups are overwritten in the regular rotation cycle, at the latest 30 days after deletion in the Service.

(1) On request, the Processor provides the Controller with the information needed to demonstrate compliance with this agreement.

(2) The Controller may carry out audits, including on-site, after timely notice (at least four weeks) during business hours, or have them carried out by an auditor bound to confidentiality, as a rule no more than once per calendar year. Audits of the sub-processors' data centres are replaced by their certifications and audit reports.

(1) Liability is governed by Art. 82 GDPR. Otherwise the liability provisions of the Terms apply.

(2) In the event of conflicts between this agreement and the Terms, this agreement prevails on data protection matters.

(3) The German version is binding.

Physical access control

• Servers and storage are located in data centres of Hetzner Online GmbH in Germany (Nuremberg, Falkenstein), certified to ISO/IEC 27001, with access control, video surveillance and security staff.
• The Processor does not operate its own server rooms.

System and data access control

• Administrative access to the servers only by the managing director, via SSH; root login with key only.
• Firewall on the server, only required ports open; automatic blocking after repeated failed attempts (fail2ban).
• User passwords stored only as bcrypt hashes; session tokens stored only as hashes.
• Strict separation of organisations within the application; roles (owner, admin, member) within an organisation.

Transfer control and encryption

• All connections are encrypted with TLS (HTTPS).
• Paligo API keys are stored encrypted with AES-256-GCM.
• Backups are encrypted client-side before transfer to the external backup storage; the storage provider has no access to the keys.

Availability and resilience

• Daily database backup (retained 14 days) and daily encrypted external backup with a second provider in the EU (retained 30 days).
• Automatic operating-system security updates; service monitoring with a daily status report.
• Separate staging environment so changes are tested before release.

Separation, deletion and organisation

• Tenant separation by organisation ID on all data access.
• Server logs are deleted after no more than 14 days.
• Sub-processors only under a contract pursuant to Art. 28 GDPR.

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germany — server hosting (Nuremberg), object storage for images (Falkenstein), email delivery. Location of processing: Germany.
• Backblaze, Inc., San Mateo, USA — external backup, encrypted client-side only. Storage location: EU Central region (Amsterdam, Netherlands). Basis for possible access from the USA: EU Standard Contractual Clauses (part of Backblaze's data processing addendum).

Stripe only processes the customer's billing data and acts as processor or controller towards the Provider in that respect; it is not a sub-processor for the data listed in section 2. See the Privacy Policy.