Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung nach Art. 28 DSGVO wird zwischen der im verif-X-Konto bezeichneten Organisation als Verantwortlichem („Auftraggeber“) und der Nexora Digital Engineering UG (haftungsbeschränkt), Hinterau 7, 94164 Sonnen, als Auftragsverarbeiter („Auftragnehmer“) geschlossen. Sie gilt ergänzend zu den AGB.

1. Gegenstand und Dauer

Gegenstand ist die technische Bereitstellung von verif-X zur Erstellung von Verifizierungslinks, Entgegennahme und Speicherung von Identitätsangaben und Nachweisen sowie Bereitstellung zur Prüfung durch den Auftraggeber. Die Verarbeitung dauert für die Laufzeit des Kontos und darüber hinaus nur, soweit Lösch-, Rückgabe- oder gesetzliche Aufbewahrungspflichten bestehen.

2. Art, Zweck und Umfang

Der Auftragnehmer erhebt, übermittelt, speichert, strukturiert, stellt bereit und löscht personenbezogene Daten ausschließlich zur Durchführung der vom Auftraggeber veranlassten Identitätsprüfung und nach dessen dokumentierten Weisungen. Eine Verarbeitung für eigene Werbe-, Profiling- oder Scoringzwecke findet nicht statt. Es erfolgt keine automatisierte biometrische Identifizierung, Gesichtserkennung oder automatisierte Prüfentscheidung.

3. Datenarten und betroffene Personen

Verarbeitet werden insbesondere Stamm- und Kontaktdaten, Geburtsdatum, Anschrift, Ausweis- oder Passnummer, Dokumentabbildungen, direkt aufgenommenes Selfie-Video, Vorgangs- und Prüfdaten sowie technische Sicherheitsdaten. Betroffene sind insbesondere Bewerber, Beschäftigte, Auftragnehmer oder sonstige vom Auftraggeber eingeladene Personen sowie berechtigte Portalnutzer.

4. Weisungen und Pflichten des Auftraggebers

Der Auftraggeber bestimmt Zweck, Rechtsgrundlage, Informationspflichten und Zugriffsberechtigungen. Die im Portal dokumentierte Löschfrist für Identitätsnachweise beträgt verbindlich zehn Tage ab vollständiger Einreichung. Weitergehende Weisungen erfolgen über die Portalnutzung oder in Textform. Hält der Auftragnehmer eine Weisung für datenschutzwidrig, informiert er den Auftraggeber unverzüglich und darf ihre Ausführung bis zur Klärung aussetzen.

5. Pflichten des Auftragnehmers

Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung, verpflichtet zugriffsberechtigte Personen zur Vertraulichkeit, gewährleistet angemessene technische und organisatorische Maßnahmen und unterstützt den Auftraggeber im erforderlichen Umfang bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Konsultationen sowie Nachweisen der Einhaltung.

6. Technische und organisatorische Maßnahmen

• verschlüsselte Übertragung per TLS und verschlüsselte bzw. zugriffsgeschützte Speicherung;
• rollenbasierte Berechtigungen, sichere Passwort-Hashes, Sitzungs- und CSRF-Schutz;
• zufällige, gehashte und zeitlich begrenzte Verifizierungslinks;
• Protokollierung sicherheitsrelevanter Vorgänge und Begrenzung wiederholter Anfragen;
• Trennung der Organisationen, restriktive Dateizugriffe, Datensicherung und Wiederherstellungsverfahren;
• regelmäßige Aktualisierung, Schwachstellenbehandlung und Überprüfung der Wirksamkeit.

Die Maßnahmen dürfen dem technischen Fortschritt entsprechend weiterentwickelt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

Der Auftraggeber erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Derzeit wird Hetzner Online GmbH für Server- und Hosting-Leistungen in Deutschland bzw. der EU eingesetzt. Transaktionale E-Mail-Dienste erhalten nur die für die Zustellung erforderlichen Adress- und Nachrichtendaten, keine Ausweisdateien oder Selfie-Videos. Neue oder ersetzte Unterauftragsverarbeiter werden vorab in Textform oder im Kundenkonto angekündigt; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

8. Drittlandübermittlungen

Identitätsnachweise werden grundsätzlich innerhalb der Europäischen Union verarbeitet. Eine Übermittlung in ein Drittland erfolgt nur auf dokumentierte Weisung oder bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO. Zahlungsdaten werden getrennt von Identitätsnachweisen durch den Zahlungsdienstleister verarbeitet.

9. Datenschutzverletzungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich nach Bekanntwerden einer Verletzung des Schutzes auftragsverarbeiteter personenbezogener Daten und stellt die verfügbaren Informationen zur Bewertung und Erfüllung der Pflichten nach Art. 33 und 34 DSGVO bereit.

10. Betroffenenrechte

Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, wird die Anfrage – soweit rechtlich zulässig – an den Auftraggeber weitergeleitet. Der Auftragnehmer berichtigt, löscht, überträgt oder beschränkt Daten nach dokumentierter Weisung und unterstützt den Auftraggeber angemessen.

11. Löschung und Rückgabe

Identitätsangaben, Dokumentabbildungen und Selfie-Videos werden zehn Tage nach vollständiger Einreichung automatisch gelöscht bzw. anonymisiert. Bis dahin kann der Auftraggeber den vollständigen Vorgang als ZIP-Archiv herunterladen. Nach Abschluss der übrigen Leistungen löscht oder gibt der Auftragnehmer personenbezogene Daten nach Wahl und Weisung des Auftraggebers zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden im Rahmen der geregelten Überschreibzyklen gelöscht und bis dahin gesperrt weiter geschützt.

12. Nachweise und Kontrollen

Der Auftragnehmer stellt die zur Prüfung der Einhaltung erforderlichen Informationen zur Verfügung. Kontrollen sind nach angemessener Vorankündigung, unter Wahrung der Vertraulichkeit und ohne unverhältnismäßige Beeinträchtigung des Betriebs zulässig. Gleichwertige Prüfberichte oder Zertifikate dürfen vorrangig bereitgestellt werden.

13. Rangfolge und Textform

Bei Widersprüchen zu den AGB geht diese Vereinbarung hinsichtlich der Auftragsverarbeitung vor. Änderungen und ergänzende Weisungen bedürfen mindestens der Textform. Die elektronische Annahme im Kundenkonto wird mit Organisation, Kontoinhaber, Zeitpunkt und Versionsstand protokolliert.