Vereinbarung nach Art. 28 DSGVO zwischen dem Kunden laut Bestellung („Verantwortlicher“) und fokus it solutions, Inhaber Jens Musleh, Herrenberger Str. 62, 71069 Sindelfingen („Auftragsverarbeiter“).
§ 1 Gegenstand und Abgrenzung
- Diese Vereinbarung gilt nur, soweit der Auftragsverarbeiter bei der Erfüllung des Vertrags über edi-service.eu (AGB, Lizenzvertrag, SLA) personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
- Auftragsverarbeitung findet statt bei: a) Unterlagen im Onboarding: Der Verantwortliche lädt in der Zentrale (app.edi-service.eu/onboarding/) Unterlagen seiner Handelspartner hoch (EDI-Leitfäden, Anschreiben, Beispielnachrichten, öffentliche Zertifikate) und beantwortet Fragen. Die Zentrale speichert sie verschlüsselt, wertet den Text aus und erzeugt daraus die Implementierungsspezifikation. b) Einrichtung über die Konfigurations-API: Der Einrichtungsdienst der Zentrale liest und schreibt über den vom Verantwortlichen freigegebenen Zugang (Tunnel, Token mit Scopes) die Konfiguration der Instanz (Partner, Kennungen, Kanäle, Mappings, Beispielnachrichten für Testläufe). Dabei können personenbezogene Daten sichtbar werden, etwa Ansprechpartner von Handelspartnern in der Konfiguration oder Namen in Beispielnachrichten. c) Support: wenn der Verantwortliche dem Auftragsverarbeiter für eine Anfrage Daten mit Personenbezug übermittelt (zum Beispiel eine betroffene Nachricht oder einen Ausschnitt aus dem Protokoll).
- Keine Auftragsverarbeitung sind: a) die laufenden Geschäftsnachrichten: Sie werden auf dem Server des Verantwortlichen verarbeitet. Die Zentrale erhält sie nicht; das Lesen von Nachrichteninhalten ist für den Zugang der Zentrale technisch ausgeschlossen, b) der Betrieb der Software auf dem Server des Verantwortlichen: Server, Datenbank und Sicherung betreibt der Verantwortliche selbst; der Auftragsverarbeiter hat dort keinen SSH- oder root-Zugang, c) der Lizenz-Nutzungsbericht: Er enthält nur Zähler und technische Kennungen, keine personenbezogenen Daten, d) die Daten aus Bestellung, Kundenportal und Vertragsabwicklung (Firma, Ansprechpartner, Rechnungsdaten): Hier ist der Auftragsverarbeiter selbst Verantwortlicher; es gilt die Datenschutzerklärung auf edi-service.eu.
- KI-Anbieter des Verantwortlichen: Texte aus den Unterlagen gehen zur Auswertung an den KI-Anbieter, mit dem der Verantwortliche selbst einen Vertrag geschlossen hat. Der Aufruf läuft über die Instanz des Verantwortlichen mit dessen Zugang. Der KI-Anbieter ist nicht Unterauftragsverarbeiter des Auftragsverarbeiters; das Verhältnis zum KI-Anbieter regelt der Verantwortliche in seinem eigenen Vertrag.
§ 2 Art, Zweck, Daten, Betroffene, Dauer
| Punkt | Inhalt |
|---|---|
| Zweck | Einrichtung der EDI-Anbindungen des Verantwortlichen (Implementierungsspezifikation, Partner, Kanäle, Mappings, Tests), Support |
| Art der Verarbeitung | Speichern (verschlüsselt), Textauswertung, Anonymisieren, Übermitteln an die Instanz des Verantwortlichen, Löschen |
| Datenarten | Namen, Funktionen, geschäftliche E-Mail-Adressen und Telefonnummern von Ansprechpartnern; Firmen und Anschriften; Inhalte von Beispielnachrichten (zum Beispiel Liefer- und Rechnungsanschriften, Artikel, Mengen, Preise), soweit sie Personenbezug haben |
| Betroffene | Beschäftigte und Ansprechpartner des Verantwortlichen und seiner Handelspartner; Personen, die in Beispielnachrichten oder Leitfäden genannt sind |
| Besondere Kategorien (Art. 9 DSGVO) | nicht vorgesehen; der Verantwortliche lädt keine solchen Daten hoch |
| Dauer | Laufzeit des Hauptvertrags; Unterlagen im Onboarding höchstens bis zur Löschfrist nach § 7 |
§ 3 Weisungen
- Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Die Weisungen ergeben sich aus dem Hauptvertrag, den Einstellungen im Onboarding (zum Beispiel der Stufe der Anonymisierung) und den Freigaben im Dashboard. Weitere Weisungen erteilt der Verantwortliche in Textform.
- Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das dem Verantwortlichen unverzüglich mit.
- Eine Übermittlung in Drittländer durch den Auftragsverarbeiter findet nicht statt. Übermittlungen an den KI-Anbieter des Verantwortlichen (§ 1 Abs. 4) verantwortet der Verantwortliche.
§ 4 Vertraulichkeit
Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Zugriff auf die Systeme der Zentrale hat nur der Inhaber.
§ 5 Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf sie durch gleichwertige oder bessere ersetzen und teilt wesentliche Änderungen mit.
§ 6 Unterauftragsverarbeiter
- Der Verantwortliche erteilt eine allgemeine Genehmigung für die in Anlage 1 genannten Unterauftragsverarbeiter.
- Über jede beabsichtigte Hinzuziehung oder Ersetzung informiert der Auftragsverarbeiter mindestens 30 Tage vorher in Textform. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem Grund widersprechen; kommt keine Einigung zustande, kann er den Hauptvertrag zum Wirksamwerden der Änderung kündigen (Art. 28 Abs. 2 DSGVO).
- Der Auftragsverarbeiter legt Unterauftragsverarbeitern dieselben Datenschutzpflichten auf (Art. 28 Abs. 4 DSGVO).
§ 7 Löschung und Rückgabe
- Unterlagen im Onboarding werden automatisch 30 Tage nach dem Hochladen gelöscht (Original und ausgelesener Text). Der Verantwortliche kann sie jederzeit vorher selbst löschen.
- Jeder Kunde hat einen eigenen Datenschlüssel für seine Unterlagen. Sind alle Unterlagen eines Kunden gelöscht, vernichtet der Auftragsverarbeiter diesen Schlüssel. Damit sind auch Kopien der Unterlagen in Sicherungen nicht mehr lesbar.
- Erhalten bleiben Metadaten zur Nachvollziehbarkeit (Dateiname, Art, Größe, Prüfsumme, Zeitpunkte) und die daraus erzeugte Implementierungsspezifikation. Die Spezifikation enthält keine Zugangsdaten. Spezifikation und Metadaten löscht der Auftragsverarbeiter 90 Tage nach Vertragsende, auf Wunsch des Verantwortlichen früher.
- Protokolle des Einrichtungsdienstes enthalten keine Geschäftsdaten (Werkzeug, Ergebnis, Status, Dauer, Größen, Prüfwert der Argumente).
- Sicherungen: Die Datenbank der Zentrale wird nächtlich gesichert (7 Stände). Die virtuellen Maschinen werden täglich um 01:00 Uhr verschlüsselt gesichert (14 Tages-, 8 Wochen- und 6 Monatsstände), das Dateisystem der Zentrale zusätzlich alle 15 Minuten (verschlüsselt; Stände der letzten 3 Tage sowie 7 Tages-, 12 Monats- und Jahresstände). Alle Sicherungen werden verschlüsselt auf einen Sicherungsspeicher im selben Rechenzentrumspark gespiegelt. Der Auftragsverarbeiter stellt gelöschte Daten aus Sicherungen nicht wieder her, außer zur Wiederherstellung nach einem Ausfall.
- Nach Ende des Hauptvertrags löscht der Auftragsverarbeiter alle noch vorhandenen personenbezogenen Daten aus der Auftragsverarbeitung nach den Fristen dieses Paragraphen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Eine Rückgabe ist in der Regel nicht nötig, weil die Originale beim Verantwortlichen liegen; auf Wunsch stellt der Auftragsverarbeiter die Spezifikation als Datei bereit.
- Das Zugangstoken der Zentrale zur Instanz wird nur versiegelt gespeichert. Der Verantwortliche widerruft es im Dashboard; der Auftragsverarbeiter entfernt es mit Vertragsende.
§ 8 Unterstützung des Verantwortlichen
- Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener (Art. 28 Abs. 3 Satz 2 lit. e DSGVO), etwa durch Löschen von Unterlagen auf Anweisung, und bei den Pflichten aus Art. 32 bis 36 DSGVO (lit. f).
- Datenschutzverletzungen meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben, die ihm vorliegen.
- Der Auftragsverarbeiter stellt die nötigen Informationen zum Nachweis bereit und ermöglicht Überprüfungen (lit. h), vorrangig durch Selbstauskunft und Unterlagen (diese AVV, Sicherheitsberichte). Prüfungen vor Ort finden nach Anmeldung mit angemessener Frist während der Geschäftszeiten statt. Jede Partei trägt ihre eigenen Kosten der Überprüfung.
§ 9 Haftung, Schlussbestimmungen
Es gelten Art. 82 DSGVO und ergänzend die Haftungsregeln der AGB. Bei Widersprüchen geht diese AVV in Datenschutzfragen vor. Es gilt deutsches Recht.
Anlage 1: Unterauftragsverarbeiter
| Unterauftragsverarbeiter | Leistung | Ort |
|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Rechenzentrum und gemieteter Server, auf dem die virtuellen Maschinen mit Zentrale und Reverse-Proxy laufen; Speicherplatz für die verschlüsselten Sicherungen | Rechenzentrumspark Falkenstein (Vogtland), Deutschland |
Weitere Unterauftragsverarbeiter gibt es nicht. Zentrale und Reverse-Proxy laufen auf eigenen virtuellen Maschinen des Auftragsverarbeiters; er nutzt keine externen Analyse- oder KI-Dienste.
Anlage 2: Technische und organisatorische Maßnahmen
Grundlage: Art. 32 Abs. 1 DSGVO (Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit, Wiederherstellung, regelmäßige Überprüfung). Beschrieben sind die Maßnahmen der Zentrale (Container auf einer virtuellen Maschine des Auftragsverarbeiters).
1. Vertraulichkeit
| Maßnahme | Umsetzung |
|---|---|
| Datensparsamkeit | Die Zentrale erhält keine laufenden Geschäftsnachrichten; der Zugang zur Instanz schließt das Lesen von Nachrichteninhalten aus |
| Verschlüsselung gespeicherter Unterlagen | Original und Text je Datei mit AES-256-GCM, eigene Nonce, Bindung an Kunde, Dokument und Zweck; je Kunde ein eigener Datenschlüssel, verpackt mit dem Onboarding-Schlüssel; der Schlüssel liegt als Datei nur bei den Diensten, die ihn brauchen, nicht in der Datenbank |
| Verschlüsselter Bearbeitungsstand | Antworten und aus Unterlagen Erkanntes liegen verschlüsselt; die Admin-Rolle sieht sie nicht |
| Zugangstoken zur Instanz | nur versiegelt gespeichert (X25519, HKDF-SHA256, AES-256-GCM); entschlüsseln kann nur der Einrichtungsdienst |
| Zugang zum Onboarding | je Rolle ein Link mit Zufallstoken, 14 Tage gültig, widerrufbar, nur als SHA-256 gespeichert; Sitzung mit __Host--Cookie, HttpOnly, SameSite=Strict, 2 Stunden Leerlauf, höchstens 12 Stunden, CSRF-Token |
| Zugang zum Kundenportal | Einladungslink aus der Bestellung (einmalig, 14 Tage, nur als Hash gespeichert), danach Passwort (scrypt) und optional TOTP; erneute Anmeldung vor kritischen Aktionen |
| Admin-Zugang | Admin-Ansicht nur lokal gebunden und über eine SSH-Weiterleitung erreichbar; Passwörter mit scrypt, Sitzungen nur als Hash, CSRF-Token, Protokoll der Admin-Aktionen |
| Trennung der Dienste | Bestellung, Kundenportal, Lizenzdienst, Onboarding, Einrichtungsdienst und Admin in getrennten Containern mit je eigener Datenbankrolle und minimalen Rechten |
| Mandantentrennung | Tunnel je Kunde mit genau einem erlaubten Port; vor jeder Nutzung Prüfung der Instanz per signierter Challenge; Einrichtungssitzung an genau eine Instanz gebunden |
| Anonymisierung vor der KI | voreingestellt: E-Mail, Telefon, in EDIFACT Kontakt- und Namenssegmente durch Platzhalter ersetzt; strengere Stufe wählbar; auch für spätere KI-Aufrufe des Agenten erzwungen |
| Übertragung | durchgehend verschlüsselt: HTTPS mit gültigem Zertifikat bis zum Reverse-Proxy des Auftragsverarbeiters, von dort TLS im internen Netz bis zur Zentrale |
2. Integrität
| Maßnahme | Umsetzung |
|---|---|
| Prüfung hochgeladener Dateien | Typ nach Inhalt, Größengrenzen (10 MB je Datei, 20 Dateien je Partner, 60 MB je Kunde), keine ZIP-Archive, DOCX nur mit strenger Prüfung, keine Makros, XML ohne DTD, private Schlüssel abgelehnt |
| Isolierte Textauswertung | PDF und DOCX in einem Container ohne Netz, ohne Geheimnisse und ohne Datenbank, mit Speicher-, CPU- und Zeitgrenzen |
| Unterlagen steuern nichts | Inhalte gelten als nicht vertrauenswürdige Daten; KI-Ergebnisse sind nur Vorschläge mit Prüfung gegen das Schema |
| Protokolle | Ereignisse im Onboarding ohne Inhalte; Werkzeugaufrufe des Einrichtungsdienstes nur anhängend, mit Prüfwert statt Argumenten; die Instanz protokolliert jede Anfrage der Zentrale mit Urheber, altem und neuem Wert |
| Signierte Software | Installer und Plattform-Pakete mit getrennten Schlüsseln signiert, die nicht in den Containern liegen; Updates nur aufwärts |
3. Verfügbarkeit und Wiederherstellung
| Maßnahme | Umsetzung |
|---|---|
| Sicherung | nächtliche Sicherung der Datenbank der Zentrale, Schlüssel der Zentrale in einer getrennten verschlüsselten Schlüsselsicherung; Rücksicherung getestet; Aufbewahrung nach § 7 Abs. 5 |
| Überwachung | Healthchecks aller Dienste der Zentrale |
| Folgen eines Ausfalls für den Verantwortlichen | Die Instanz arbeitet ohne Zentrale weiter (Lizenzschlüssel 14 Tage plus 7 Tage Kulanz); betroffen sind nur Kundenportal, Einrichtung und Onboarding |
4. Begrenzung ausgehender Verbindungen
Die Container der Zentrale erreichen weder den Host noch das interne Netz noch das Internet; eine eigene Firewall-Tabelle auf dem Host setzt das durch.
5. Regelmäßige Überprüfung
Sicherheitsprüfung jeder Änderung vor der Übernahme in den Hauptstand, White-Box-Audit an jedem Meilenstein mit Code und Vollaudit bei größeren Änderungen.
6. Organisatorisch
Nur der Inhaber hat Zugriff auf die Systeme. Geheimnisse liegen nur in Dateien mit eingeschränkten Rechten. Test- und Beispieldaten enthalten keine Kundendaten. Eine Vertretung erhält Zugang nur nach dokumentierter Übergabe und schriftlicher Verpflichtung zur Vertraulichkeit.