Auftrags- verarbeitungsvertrag

• „Kundendaten“ — personenbezogene Daten, die der Kunde oder seine berechtigten Nutzer im Dienst hochladen, eingeben oder erzeugen, einschließlich Einträgen im KI-System-Inventar, Checklistenpunkten, Dokumenten, Antworten aus Lieferantenfragebögen, Assistenten-Gesprächen und Audit-Logs.
• „Personenbezogene Daten“, „Betroffene Person“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „Unterauftragsverarbeiter“, „Aufsichtsbehörde“ und „Verletzung des Schutzes personenbezogener Daten“ haben die in der DSGVO (Verordnung (EU) 2016/679) festgelegte Bedeutung.
• „SCC“ — die von der Europäischen Kommission erlassenen Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) in ihrer jeweils geänderten oder ersetzten Fassung.
• „Dienst“ — der Complair Compliance-Workspace gemäß Hauptvertrag.

Der Kunde ist Verantwortlicher der Kundendaten. Complair ist Auftragsverarbeiter. Complair verarbeitet Kundendaten ausschließlich zur Bereitstellung des Dienstes und wie in diesem AVV näher beschrieben.

Für personenbezogene Daten, die Complair unmittelbar selbst erhebt (Registrierungsdaten, Abrechnungsdaten, technische Protokolle), handelt Complair als eigenständiger Verantwortlicher. Diese Verarbeitung richtet sich nach unserer Datenschutzerklärung.

• Complair verarbeitet Kundendaten ausschließlich auf dokumentierte Weisung des Kunden, wie in diesem AVV und im Hauptvertrag festgelegt.
• Ist Complair der Ansicht, dass eine Weisung gegen die DSGVO oder sonstiges anwendbares Datenschutzrecht verstößt, informiert Complair den Kunden unverzüglich.
• Der Kunde kann durch E-Mail an privacy@complair.eu angemessene, mit dem Hauptvertrag vereinbare Zusatzweisungen erteilen.
• Complair verwendet Kundendaten nicht für eigene Zwecke — einschließlich des Trainings von Modellen des maschinellen Lernens —, es sei denn, der Kunde weist dies ausdrücklich an.

Complair implementiert und hält geeignete technische und organisatorische Maßnahmen zum Schutz der Kundendaten aufrecht, darunter:

• Verschlüsselung — TLS 1.2+ bei der Übertragung; AES-256 im Ruhezustand (Datenbank, Backups, Objektspeicher).
• Authentifizierung — mit bcrypt gehashte Passwörter; auf den Workspace beschränkte Session-Tokens; optionale Zwei-Faktor-Authentifizierung.
• Zugriffskontrolle — rollenbasierter Zugriff (Pundit-Policies); mandantengebundene Controller und ausgewählte Modell-Guards über acts_as_tenant; Least-Privilege-Zugriff für Complair-Personal.
• Infrastruktur — gehostet bei Hetzner in Frankfurt, Deutschland (EU). Server gehärtet, hinter Firewalls und regelmäßig gepatcht.
• Backups — tägliche verschlüsselte Backups mit getesteten Wiederherstellungsverfahren; Rotation aus dem Cold Storage innerhalb von 35 Tagen.
• Monitoring — zentralisiertes Logging, Anomalie-Alerts, Abhängigkeits-Scans und Fehler-Monitoring (Sentry, EU).
• Personal — Background Checks, Vertraulichkeitsvereinbarungen, jährliche Sicherheitsschulungen für alle Mitarbeitenden mit Zugriff auf Kundendaten.

Eine detailliertere Beschreibung unserer Sicherheitslage finden Sie auf unserer Sicherheitsseite.

Der Kunde ermächtigt Complair, die nachstehend aufgeführten Unterauftragsverarbeiter einzubinden. Jeder ist durch einen schriftlichen Auftragsverarbeitungsvertrag gebunden, der Verpflichtungen auferlegt, die nicht weniger schützend sind als dieser AVV.

Änderungen bei Unterauftragsverarbeitern

• Complair wird den Kunden mindestens 30 Tage vor Hinzunahme oder Ersetzung eines Unterauftragsverarbeiters per E-Mail an die Adresse des Workspace-Inhabers informieren.
• Widerspricht der Kunde aus nachvollziehbaren Datenschutzgründen, werden die Parteien in gutem Glauben nach einer Alternative suchen. Kommt binnen 30 Tagen keine Lösung zustande, kann der Kunde die betroffene Service-Komponente ohne Vertragsstrafe kündigen.
• Complair haftet für Handlungen und Unterlassungen seiner Unterauftragsverarbeiter wie für eigene.

Kundendaten werden in Frankfurt, Deutschland (EU) gespeichert. Soweit ein Unterauftragsverarbeiter außerhalb des EWR ansässig ist (siehe Abschnitt 6), stellt Complair einen geeigneten Übermittlungsmechanismus sicher:

• Standardvertragsklauseln (Modul 3: Auftragsverarbeiter zu Unterauftragsverarbeiter), wie von der Europäischen Kommission erlassen.
• Ergänzende Maßnahmen — Verschlüsselung bei Übertragung und im Ruhezustand, Datenminimierung, vertragliche Beschränkungen für Behördenzugriffe und Übermittlungsfolgenabschätzungen.

Kopien der unterzeichneten SCC sind auf Anfrage unter privacy@complair.eu erhältlich.

Unter Berücksichtigung der Art der Verarbeitung unterstützt Complair den Kunden mit geeigneten technischen und organisatorischen Maßnahmen, soweit möglich, bei der Erfüllung der Pflichten des Kunden zu:

• Beantwortung von Betroffenenrechten auf Auskunft, Berichtigung, Löschung, Übertragbarkeit, Einschränkung und Widerspruch (Art. 15–22 DSGVO).
• Durchführung von Datenschutz-Folgenabschätzungen und vorheriger Konsultationen, soweit erforderlich (Art. 35–36 DSGVO).
• Einhaltung der Pflichten zur Sicherheit der Verarbeitung (Art. 32 DSGVO).
• Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33–34 DSGVO).

Erfordert die Unterstützung erheblichen Aufwand über den regulären Support hinaus, kann Complair angemessene Kosten zu den jeweils aktuellen Tagessätzen für professionelle Dienstleistungen verrechnen, vorab vereinbart.

• Complair stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung und ermöglicht und unterstützt Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer.
• Audits erfolgen mit angemessener Vorankündigung (mindestens 30 Tage), während der regulären Geschäftszeiten, höchstens einmal jährlich und unter angemessenen Vertraulichkeitspflichten.
• Soweit Complair aktuelle SOC-2-Type-II-, ISO-27001- oder gleichwertige Zertifizierungen vorhält, kann die Vorlage dieser Berichte als Alternative zu einer Vor-Ort-Prüfung angeboten werden. Der Kunde kann diese nach eigenem Ermessen akzeptieren.

• Während des Abonnements kann der Kunde seine Daten jederzeit über die integrierten Exportfunktionen des Dienstes exportieren (PDF, Excel, JSON).
• Nach Beendigung des Hauptvertrags bewahrt Complair die Kundendaten 30 Tage zum endgültigen Export auf und löscht sie anschließend dauerhaft aus allen produktiven Systemen.
• Verschlüsselte Backups mit Kundendaten werden innerhalb von 35 Tagen nach Löschung aus den produktiven Systemen aus dem Cold Storage rotiert.
• Wenn eine Aufbewahrung gesetzlich vorgeschrieben ist (z. B. Rechnungen nach rumänischem Buchhaltungsrecht — Gesetz Nr. 82/1991), werden die betreffenden Daten isoliert, geschützt und nach Ablauf der Aufbewahrungsfrist gelöscht.

Die Gesamthaftung jeder Partei aus oder im Zusammenhang mit diesem AVV unterliegt den im Hauptvertrag festgelegten Haftungsbeschränkungen. Dieser AVV begrenzt nicht die Haftung einer Partei für Verletzungen ihrer Vertraulichkeitspflichten oder vorsätzliches Fehlverhalten.

Dieser AVV tritt mit dem Datum in Kraft, an dem der Kunde den Hauptvertrag annimmt, und bleibt in Kraft, solange Complair Kundendaten verarbeitet. Abschnitte, die ihrer Natur nach fortgelten sollen (Begriffe, Löschung, Haftung, Vertraulichkeit), bestehen nach Beendigung fort.

Fragen zu diesem AVV, Anfragen für eine gegengezeichnete Fassung oder datenschutzbezogene Anliegen: