Vertrag zur Auftragsverarbeitung

Vereinbarung nach Art. 28 DSGVO zwischen dem Kunden und dem Anbieter von Docscan. Fassung 2026-10-20.2.

Dieser Vertrag wird mit der Zustimmung bei der Registrierung elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Fassung und Zeitpunkt der Zustimmung werden beim Konto des Kunden festgehalten. Er ergänzt die Nutzungsbedingungen und geht diesen in Fragen der Verarbeitung personenbezogener Daten vor.

§ 1 Gegenstand, Dauer und Anwendungsbereich

(1) Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies zur Erbringung der in den Nutzungsbedingungen beschriebenen Leistungen erforderlich ist. Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Der Kunde ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO, der Anbieter Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.

(3) Der Vertrag läuft, solange der Anbieter für den Kunden Daten verarbeitet, längstens für die Dauer des zugrunde liegenden Nutzungsvertrags. Die Pflichten aus § 8 (Löschung) und § 3 (Vertraulichkeit) bestehen darüber hinaus fort.

(4) Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum statt; siehe § 10.

§ 2 Weisungsrecht des Kunden

(1) Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Kunden die rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung der Anwendung durch den Kunden – insbesondere Konfiguration, Hochladen von Belegen, Nachbearbeitung, Export und Löschung – gilt als Weisung. Darüber hinausgehende Weisungen erteilt der Kunde in Textform an info@inosofttech.de.

(3) Weisungsberechtigt ist der Inhaber des Kontos sowie jede Person, die der Kunde dem Anbieter in Textform als weisungsberechtigt benennt.

(4) Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies dem Kunden unverzüglich mit. Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

§ 3 Vertraulichkeit

(1) Der Anbieter verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.

(2) Zugriff erhalten nur Personen, die ihn zur Vertragserfüllung benötigen. Der Anbieter macht sich mit den für ihn geltenden datenschutzrechtlichen Vorschriften vertraut.

§ 4 Technische und organisatorische Maßnahmen

(1) Der Anbieter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragsdauer aufrecht.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Anbieter darf sie anpassen; das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert er und teilt sie dem Kunden auf Anfrage mit.

§ 5 Unterauftragsverarbeiter

(1) Der Kunde erteilt dem Anbieter die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter einzusetzen (Art. 28 Abs. 2 Satz 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und damit genehmigt.

(2) Beabsichtigte Änderungen – Hinzuziehung oder Austausch – teilt der Anbieter dem Kunden mindestens vier Wochen vorher in Textform mit. Der Kunde kann der Änderung innerhalb von zwei Wochen nach Zugang aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Widerspricht er, kann jede Partei den Nutzungsvertrag zum geplanten Zeitpunkt der Änderung kündigen.

(3) Der Anbieter wählt Unterauftragsverarbeiter sorgfältig aus und verpflichtet sie vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen. Für das Verhalten seiner Unterauftragsverarbeiter haftet er wie für eigenes Verhalten.

(4) Keine Unterauftragsverarbeitung sind Nebenleistungen, die der Anbieter bei Dritten in Anspruch nimmt, ohne dass diese Zugriff auf Daten des Kunden erhalten. Ebenfalls nicht erfasst sind Dienste, die der Kunde selbst anbindet (etwa sein eigenes Postfach beim E-Mail-Eingang oder das Zielsystem seines Exports); diese liegen in seiner Verantwortung.

§ 6 Unterstützung bei Betroffenenrechten

(1) Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst.

(2) Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen. Der Kunde kann Auskunft, Berichtigung, Einschränkung und Löschung im Wesentlichen selbst über die Anwendung ausführen (Suche, Nachbearbeitung, Export, Löschprozess). Für Auskunftsersuchen nach Art. 15 DSGVO stellt der Anbieter auf Anforderung des Kunden die zu einer betroffenen Person im Mandanten gespeicherten Daten in einem maschinenlesbaren Format zusammen.

(3) Über die Funktionen der Anwendung hinausgehende Unterstützung erbringt der Anbieter nach Aufwand, soweit sie nicht auf einem Umstand beruht, den er zu vertreten hat.

§ 7 Unterstützung nach Art. 32 bis 36 DSGVO, Verletzungen des Schutzes

(1) Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung.

(2) Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntniserlangung, in der Regel innerhalb von 48 Stunden, in Textform an die hinterlegte Kontaktadresse. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenarten und ungefähre Zahl betroffener Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen. Fehlende Angaben reicht er unverzüglich nach. Der Anbieter dokumentiert jede Verletzung mit Ablauf, Auswirkungen und Gegenmaßnahmen.

(3) Meldungen an die Aufsichtsbehörde und an betroffene Personen (Art. 33, 34 DSGVO) obliegen dem Kunden.

§ 8 Löschung und Rückgabe

(1) Nach Beendigung der Verarbeitung löscht der Anbieter die im Auftrag verarbeiteten Daten oder gibt sie zurück, nach Wahl des Kunden. Der Ablauf (Export durch den Anbieter, Abruffrist, Wahl zwischen Rückgabe mit Löschung und Aufbewahrung bis zum Ende der eingestellten Aufbewahrungsfrist) ergibt sich aus § 11 der Nutzungsbedingungen. Trifft der Kunde keine Wahl, gilt dort das Verfahren für den Fall der unterbliebenen Wahl.

(2) Die Rückgabe erfolgt durch einen Export des Mandanten, der den für Inhaber in den Exporteinstellungen verfügbaren signierten Prüferexport mit Originalen, Nutzkopien, strukturierten Daten und Protokolldaten umfasst.

(3) Die Löschung erfolgt zweistufig: Der Anbieter erstellt zunächst eine Löschliste (Entwurf), der Kunde gibt sie in Textform frei, danach werden die Inhalte entfernt. Dokumente mit Legal Hold werden nicht gelöscht, solange der Hold besteht. Verschlüsselte Sicherungskopien werden nicht gesondert bereinigt; sie laufen nach den in Anlage 2 genannten Fristen aus. Bis dahin bleiben sie durch die dort beschriebenen Maßnahmen geschützt und werden nicht für andere Zwecke verwendet.

(4) Nach der Löschung bleiben ausschließlich Nachweisdaten (Dateiname, Prüfsumme, Zeitpunkte) und die Protokollspur erhalten. Die Benutzerkonten des Kunden werden nach Abschluss der Rückgabe oder Löschung anonymisiert.

(5) Eine gesetzliche Pflicht des Anbieters zur längeren Aufbewahrung bleibt unberührt. Für seine eigenen handels- und steuerrechtlichen Aufbewahrungspflichten – insbesondere nach § 147 AO – bleibt der Kunde verantwortlich; wählt er die Löschung, hat er die betroffenen Unterlagen vor deren Freigabe zu exportieren.

§ 9 Nachweise und Überprüfungen

(1) Der Anbieter stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis erfolgt vorrangig durch Auskünfte, die Bereitstellung der Dokumentation der technischen und organisatorischen Maßnahmen, der Verfahrensdokumentation sowie von Nachweisen über durchgeführte Sicherungs- und Wiederherstellungsprüfungen.

(3) Genügen diese Nachweise nicht, kann der Kunde nach Ankündigung mit angemessener Frist – in der Regel zwei Wochen – während der üblichen Geschäftszeiten eine Überprüfung vornehmen oder durch einen zur Verschwiegenheit verpflichteten, nicht mit dem Anbieter im Wettbewerb stehenden Prüfer vornehmen lassen. Die Überprüfung darf den Betrieb nicht unangemessen beeinträchtigen und findet ohne besonderen Anlass höchstens einmal je Kalenderjahr statt. Die Kosten seiner Überprüfung trägt der Kunde.

§ 10 Verarbeitung in Drittländern

(1) Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nicht statt. Server, Sicherungsspeicher und Mailversand liegen bei Anbietern mit Verarbeitung innerhalb der EU (siehe Anlage 3).

(2) Eine Übermittlung in ein Drittland erfolgt nur nach vorheriger Information des Kunden und nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO. Sie gilt als Änderung im Sinne des § 5 Absatz 2.

(3) Die optionale Erkennung mittels Sprachmodellen ist im Betrieb des Anbieters deaktiviert. Dokumentinhalte werden an keinen externen Erkennungsdienst übermittelt; die Texterkennung läuft innerhalb des Systemverbunds des Anbieters.

§ 11 Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich. Er stellt insbesondere sicher, dass er die eingestellten Dokumente verarbeiten darf.

(2) Der Kunde verwaltet die Nutzer seines Mandanten selbst und entzieht ausgeschiedenen Personen unverzüglich den Zugang.

(3) Der Kunde konfiguriert Aufbewahrungsfristen, Löschläufe und Exportziele im Rahmen seiner rechtlichen Vorgaben. Er beachtet, dass eine Verlängerung der Aufbewahrungsfrist auch auf Bestandsdokumente wirkt und Fristen nicht verkürzt werden können.

§ 12 Schlussbestimmungen

(1) Im Übrigen gelten die Nutzungsbedingungen, insbesondere zu Haftung, anwendbarem Recht und Gerichtsstand. Ansprüche nach Art. 82 DSGVO bleiben unberührt.

(2) Änderungen dieses Vertrags bedürfen der Textform. Für Änderungen gilt § 13 der Nutzungsbedingungen entsprechend.

(3) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 – Gegenstand der Verarbeitung

Gegenstand

Bereitstellung und Betrieb der Anwendung Docscan zur Verarbeitung von Eingangsbelegen des Kunden sowie, soweit der Kunde das Modul „Verkauf" freischaltet, zur Umwandlung und Zustellung seiner Ausgangsrechnungen.

Art und Zweck der Verarbeitung

Entgegennahme (Upload, REST-Schnittstelle, überwachtes Verzeichnis, E-Mail-Eingang), Speicherung des unveränderten Originals, automatisierte Auslesung (Texterkennung und Regeln, Auswertung strukturierter E-Rechnungsdaten), Klassifikation, Abgleich mit Stammdaten des Kunden, formale und rechnerische Prüfungen, Bereitstellung zur Nachbearbeitung und Freigabe, Erzeugung von Nutzkopien und Exportdateien, Übergabe an vom Kunden bestimmte Zielsysteme (signierter Webhook über HTTPS), revisionssichere Aufbewahrung und kontrollierte Löschung sowie der Betrieb der Benutzerkonten. Beim Modul „Verkauf": Umwandlung von Ausgangsrechnungen in E-Rechnungen (bei Word-Dateien über einen lokal betriebenen Konverter), Prüfung und Freigabe sowie Zustellung per E-Mail an die im Kundenstamm hinterlegte Rechnungsadresse. Eingehende Dateien werden vor der Verarbeitung auf Schadsoftware geprüft.

Arten personenbezogener Daten

• Aus den Belegen: Namen und Firmierungen, Anschriften, Kontaktdaten (E-Mail, Telefon), Bankverbindungen (IBAN, BIC), Steuer- und Umsatzsteuer-Identifikationsnummern, Kunden-, Lieferanten-, Bestell- und Belegnummern, Leistungsbeschreibungen, Mengen und Beträge, Zahlungsbedingungen sowie sämtliche weiteren im Beleg enthaltenen Textinhalte einschließlich der Bilddarstellung des Belegs.
• Stammdaten des Kunden: Lieferanten- und Bestelldaten, Bankverbindungen, Ansprechpartner; beim Modul „Verkauf" der Kundenstamm (Name, Rechnungsanschrift, Rechnungs-E-Mail-Adresse, Kundennummer, Steuerkennzeichen) und die Ausgangsrechnungen einschließlich der erzeugten E-Rechnungen.
• Benutzerkonten und Betrieb: E-Mail-Adresse, Passwort als kryptographischer Hash, Rolle und Gesellschaftszuordnung, Zeitpunkte von Anlage und letzter Anmeldung, Protokolldaten der Bearbeitung (wer hat wann welchen Beleg bearbeitet, freigegeben, exportiert oder gelöscht), technische Zugriffsdaten.

Kategorien betroffener Personen

• Beschäftigte und Ansprechpartner des Kunden, die die Anwendung nutzen
• Ansprechpartner der Lieferanten, Kunden und Geschäftspartner des Kunden
• Selbständige, Einzelunternehmer und andere natürliche Personen, die als Aussteller oder Empfänger eines Belegs auftreten

Dauer

Für die Dauer des Nutzungsvertrags zuzüglich der in § 8 geregelten Fristen. Innerhalb der Anwendung richtet sich die Aufbewahrung nach der vom Kunden je Gesellschaft eingestellten Frist (Voreinstellung: acht Jahre ab Ende des Entstehungsjahres).

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle. Server und Sicherungsspeicher werden in Rechenzentren des in Anlage 3 genannten Betreibers betrieben. Der physische Zutrittsschutz (Zutrittskontrolle, Videoüberwachung, Alarmierung) obliegt diesem und ist Gegenstand der mit ihm geschlossenen Vereinbarung. Eigene Räumlichkeiten des Anbieters beherbergen keine Produktivsysteme.

Zugangskontrolle. Zugang zur Anwendung nur über persönliche Benutzerkonten mit E-Mail-Bestätigung; Passwörter werden ausschließlich als bcrypt-Hash gespeichert, Mindestlänge zehn Zeichen. Einmal-Token für Bestätigung, Passwortzurücksetzung und Einladung werden nur als SHA-256-Hash gespeichert und laufen ab. Fehlgeschlagene Anmeldungen werden je Benutzername und Quelladresse, Registrierungen je Quelladresse zeitweise gedrosselt. Eine Zwei-Faktor-Anmeldung (TOTP mit Wiederherstellungscodes) steht für Benutzerkonten zur Verfügung. Die Serververwaltung erfolgt ausschließlich über SSH-Schlüssel. Die Datenbank ist von außen nicht erreichbar; die Anwendung ist ausschließlich über den vorgelagerten Reverse Proxy erreichbar. Betriebs- und Kennzahlenschnittstellen sind nach außen gesperrt und innerhalb der Anwendung dem Betreiberkonto vorbehalten.

Zugriffskontrolle. Rollenmodell mit Betreiber-Administrator, Inhaber und Bearbeiter. Die Datensicht wird serverseitig je Gesellschaft erzwungen und nicht der Oberfläche überlassen; Schnittstellen-Clients sind auf die ihnen zugeordneten Gesellschaften begrenzt. Compliance-Funktionen (Aufbewahrung, Legal Hold und Löschläufe) sind Betreiber-Administratoren vorbehalten; Inhaber können den Prüferexport ausschließlich für ihre eigene Gesellschaft erzeugen.

Trennungskontrolle. Die Daten verschiedener Kunden werden logisch getrennt und über die Gesellschaftszuordnung jedes Zugriffs voneinander abgeschirmt. Übungs- und Demonstrationsdaten laufen in einem eigenen, gekennzeichneten Mandanten.

Verschlüsselung und Pseudonymisierung. Transportverschlüsselung mit TLS für alle Zugriffe auf die Anwendung und die Schnittstellen; die Anwendung weist den Browser an, ausschließlich verschlüsselt zuzugreifen. In der Datenbank hinterlegte Zugangsgeheimnisse für Exportziele werden mit AES-256-GCM verschlüsselt. Sicherungen werden auf dem Server verschlüsselt, bevor sie den Sicherungsspeicher erreichen; der Schlüssel verbleibt beim Anbieter.

2. Integrität

Weitergabekontrolle. Die Übergabe an Zielsysteme des Kunden erfolgt ausschließlich über HTTPS; Ziel- und Token-Adressen werden bei der Einrichtung und erneut vor jeder Zustellung geprüft und dürfen nicht auf interne oder private Adressen zeigen. Zustellungen werden signiert (HMAC), sodass der Empfänger Herkunft und Unverfälschtheit prüfen kann. Prüferexporte werden mit Ed25519 signiert und enthalten ein Manifest mit Prüfsummen aller Dateien sowie eine Verifikationsanleitung.

Eingabekontrolle und Nachvollziehbarkeit. Originale werden mit SHA-256-Prüfsumme abgelegt und nie überschrieben. Fachliche Änderungen erzeugen neue Revisionen; frühere Stände bleiben erhalten. Zu jedem ausgelesenen Wert werden Quelle, Fundstelle, Extraktionsweg und Konfidenz gespeichert. Wesentliche Ereignisse – Eingang, Verarbeitung, Freigabe, Export, Legal Hold, Löschung, Prüferexport – werden mit Prüfsummenverkettung protokolliert; die Veränderung eines Eintrags bricht die Kette nachweisbar. Anmeldezeitpunkte werden erfasst.

3. Verfügbarkeit und Belastbarkeit

Sicherung. Mindestens tägliche vollständige Sicherung der Datenbank einschließlich aller abgelegten Belege, anschließend verschlüsselte Übertragung an einen räumlich getrennten Sicherungsspeicher. Aufbewahrung der Sicherungsstände gestaffelt: vierzehn tägliche, acht wöchentliche, vierundzwanzig monatliche und zehn jährliche Stände; die Jahresstände decken die gesetzliche Aufbewahrungspflicht ab.

Prüfung der Sicherung. Wöchentliche Integritätsprüfung des Sicherungsarchivs. Mindestens vierteljährliche Wiederherstellungsübung mit inhaltlicher Kontrolle – geprüft wird die Zahl der wiederhergestellten Belege und die Übereinstimmung der Datenmengen, nicht nur der fehlerfreie Ablauf des Wiederherstellungsvorgangs.

Diagnosedaten. Bricht ein Dienst wegen Speichermangels ab, schreibt er ein Speicherabbild zur Fehleranalyse; es kann im Auftrag verarbeitete Daten enthalten. Speicherabbilder entstehen nur in diesem Fall und verbleiben lokal auf dem Server. Zugriff haben ausschließlich die mit Betrieb und Administration des Servers betrauten Personen. Speicherabbilder werden nicht in die Datensicherung übernommen und auf dem Server spätestens sieben Tage nach ihrer Entstehung gelöscht; ihr Entstehen wird automatisch gemeldet. Systemabbilder (Snapshots) des gesamten Servers beim Hosting-Anbieter (Anlage 3), die spätestens nach dreißig Tagen gelöscht werden, können Speicherabbilder bis dahin enthalten.

Betrieb. Überwachung der Dienste mit Zustandsprüfungen und Kennzahlen; Ressourcengrenzen je Dienst, damit ein einzelner Dienst die übrigen nicht verdrängt; geordnetes Herunterfahren bei Aktualisierungen; automatische Rotation der Protokolldateien. Die Belegverarbeitung läuft über eine dauerhaft gespeicherte Warteschlange und wird nach einem Abbruch selbsttätig wieder aufgenommen; Grenzen für Dateigröße, Seitenzahl und Bildauflösung sowie ein Tageskontingent je Gesellschaft schützen den Betrieb vor überlastenden Eingaben. Jede eingehende Datei wird vor der Verarbeitung mit einem Virenscanner geprüft; ist der Scanner nicht erreichbar, wird sie abgewiesen.

Härtung der Dienste. Die Dienste laufen als Container mit Speicher- und CPU-Grenzen. Die Anwendung läuft ohne Administratorrechte im Container. Die Dienste, die Belege zerlegen und zustellen (Parser, Zustellung, Konverter), laufen zusätzlich mit schreibgeschütztem Dateisystem, ohne zusätzliche Linux-Capabilities und mit gesperrter Rechteausweitung; Parser und Konverter liegen in Netzen ohne Zugang nach außen, der Parser greift auf die Datenbank nur mit einer eigenen, minimal berechtigten Rolle zu.

Bekannte Grenze. Das Produktivsystem läuft auf einem einzelnen Server ohne Hochverfügbarkeit und ohne georedundante Auslegung. Bei einem Ausfall ist mit einer Unterbrechung bis zur Wiederherstellung zu rechnen; räumlich getrennt vorgehalten werden die verschlüsselten Sicherungen.

4. Verfahren zur regelmäßigen Überprüfung und Bewertung

• Auslieferung ausschließlich über nachvollziehbare, automatisiert getestete Bauläufe; jede Auslieferung ist einem Softwarestand eindeutig zugeordnet.
• Versionierte, nachvollziehbare Datenbankmigrationen.
• Versionierte Prüfregelpakete für die formale Prüfung elektronischer Rechnungen; Aktualisierung nur über Releases.
• Regelmäßige Wiederherstellungsübungen (siehe Abschnitt 3).
• Verfahrensdokumentation, die Ablauf, Unveränderbarkeit, Aufbewahrung, Löschung und Kontrollen beschreibt und bei Änderungen fortgeschrieben wird.

5. Auftragskontrolle und Datenschutz durch Technikgestaltung

• Verarbeitung ausschließlich nach Weisung; Unterauftragsverarbeiter sind dokumentiert und auf entsprechende Pflichten verpflichtet.
• Die Texterkennung läuft innerhalb des Systemverbunds des Anbieters; Dokumentinhalte werden an keinen externen Erkennungsdienst übermittelt. Die optionale Erkennung mittels Sprachmodellen ist im Betrieb deaktiviert.
• Kein automatisches Lernen aus Kundendaten: Korrekturen fließen nur über einen kontrollierten, getesteten Freigabeprozess in Erkennungsregeln ein.
• Löschung als zweistufiger, prüfbarer Vorgang: ein Löschlauf sammelt zunächst die Dokumente mit abgelaufener Frist als Entwurf, erst die ausdrückliche Ausführung entfernt die Inhalte. Ein Legal Hold setzt die Löschbarkeit einzelner Dokumente aus. Nach der Löschung bleiben ausschließlich Nachweisdaten (Dateiname, Prüfsumme, Zeitpunkte) und die Protokollspur erhalten.
• Keine Weitergabe an Dritte über die in Anlage 3 genannten Unterauftragsverarbeiter hinaus; keine Nutzung für eigene Zwecke des Anbieters.

Anlage 3 – Unterauftragsverarbeiter

Texterkennung, Virenprüfung, Dokumentkonvertierung und Datenbank laufen auf dem Server des Anbieters bei Contabo und sind keine weiteren Unterauftragsverarbeiter.

Bindet der Kunde eigene Systeme an – etwa ein Postfach für den E-Mail-Eingang oder ein Zielsystem für den Export –, sind deren Betreiber keine Unterauftragsverarbeiter des Anbieters.

Fassung 2026-10-20.2. Die jeweils gültige Fassung ist unter dieser Adresse abrufbar.