FX
Facturx Prêt
Retour à l'accueil

Accord de sous-traitance des données conformément à l'article 28 du RGPD

Version 1.2.1, octobre 2026

Ce texte est la version française de l'accord. La version allemande fait foi.

Cet accord s'applique aux clients disposant d'un compte : il fait partie des CGV, que seuls les titulaires d'un compte acceptent. Les fichiers déposés sans compte (mode invité) sont effacés après 7 jours (90 jours avec un compte). Les professionnels qui traitent des données à caractère personnel de tiers, par exemple dans des factures, devraient donc utiliser un compte.

Texte de l'accord

Radom UG (haftungsbeschränkt), version 1.2.1, octobre 2026

Préambule

Le client utilise un service en ligne de Radom UG (haftungsbeschränkt) conformément aux conditions générales de ce service (ci-après le « contrat principal »). Dans ce cadre, Radom UG traite des données à caractère personnel pour le compte du client. Le présent accord régit les droits et obligations des parties conformément à l'article 28 du RGPD.

Parties

  • Responsable du traitement (ci-après le « client ») : le professionnel qui utilise le service avec un compte client.
  • Sous-traitant (ci-après le « prestataire ») : Radom UG (haftungsbeschränkt), Telemannstr. 2, 60323 Francfort-sur-le-Main, Allemagne, Amtsgericht Frankfurt am Main, HRB 141671, représentée par son gérant Arber Lamce.

Article 1 : Objet, durée et détails du traitement

  1. L'accord porte sur le traitement des données à caractère personnel que le client saisit ou télécharge lors de l'utilisation du service. L'objet, la nature et la finalité du traitement, les types de données à caractère personnel, les catégories de personnes concernées et la durée de conservation sont précisés à l'annexe 1 du service concerné.
  2. Le présent accord s'applique pendant la durée du contrat principal. Les obligations d'effacement (article 9) et de confidentialité (article 4) subsistent tant que le prestataire traite des données du client.
  3. Les données que le prestataire traite en tant que responsable du traitement ne relèvent pas du présent accord. Il s'agit notamment des données du compte client, de la facturation, des journaux du serveur et de la protection contre les abus. La politique de confidentialité du service s'applique à ces données.

Article 2 : Instructions

  1. Le prestataire ne traite les données que sur instruction documentée du client, y compris en ce qui concerne les transferts vers un pays tiers. Fait exception le traitement que le prestataire est tenu d'effectuer en vertu du droit de l'Union ou du droit d'un État membre. Dans ce cas, il informe le client de cette obligation juridique avant le traitement, sauf si le droit concerné l'interdit (article 28, paragraphe 3, point a) du RGPD).
  2. Les instructions résultent du contrat principal, du présent accord et de l'utilisation des fonctionnalités du service par le client. Le client donne toute autre instruction par écrit, y compris par voie électronique (par exemple par e-mail). Les instructions qui dépassent les prestations convenues sont traitées comme une demande de modification des prestations.
  3. Si le prestataire estime qu'une instruction constitue une violation des dispositions relatives à la protection des données, il en informe immédiatement le client (article 28, paragraphe 3, deuxième alinéa du RGPD). Il peut suspendre l'exécution de l'instruction jusqu'à ce que le client la confirme ou la modifie.

Article 3 : Obligations du client

  1. Le client est responsable de la licéité du traitement, notamment de la licéité de la transmission des données au prestataire et du respect des droits des personnes concernées.
  2. Le client informe immédiatement le prestataire s'il constate, lors de la vérification des résultats, des erreurs ou des irrégularités au regard des dispositions relatives à la protection des données.

Article 4 : Confidentialité

Le prestataire veille à ce que les personnes autorisées à traiter les données se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité (article 28, paragraphe 3, point b) du RGPD). Cette obligation subsiste après la fin de leur activité.

Article 5 : Sécurité du traitement

  1. Le prestataire met en œuvre les mesures techniques et organisationnelles prévues à l'article 32 du RGPD et décrites à l'annexe 2.
  2. Ces mesures évoluent avec le progrès technique. Le prestataire peut les remplacer par des mesures équivalentes ou meilleures, à condition que le niveau de protection ne soit pas réduit. Il documente les modifications importantes.

Article 6 : Sous-traitants ultérieurs

  1. Le client donne au prestataire une autorisation générale de faire appel à d'autres sous-traitants (sous-traitants ultérieurs) (article 28, paragraphe 2 du RGPD). Les sous-traitants ultérieurs utilisés à la conclusion de l'accord figurent à l'annexe 3 et sont réputés autorisés.
  2. Le prestataire informe le client par écrit, au moins 30 jours à l'avance, de tout ajout ou remplacement prévu d'un sous-traitant ultérieur. L'information est adressée par e-mail à l'adresse enregistrée dans le compte client. Le client peut s'opposer à la modification par écrit, dans un délai de 14 jours à compter de sa réception, pour un motif important lié à la protection des données. À défaut d'accord, chaque partie peut résilier le contrat principal de manière extraordinaire à la date de la modification.
  3. Le prestataire impose contractuellement à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles fixées dans le présent accord (article 28, paragraphe 4 du RGPD).
  4. Un transfert vers un pays tiers n'a lieu que si les conditions des articles 44 et suivants du RGPD sont remplies, par exemple sur la base d'une décision d'adéquation ou de clauses contractuelles types.

Article 7 : Assistance pour les droits des personnes concernées

  1. Le prestataire aide le client, par des mesures techniques et organisationnelles appropriées, à s'acquitter de son obligation de donner suite aux demandes des personnes concernées au titre du chapitre III du RGPD (article 28, paragraphe 3, point e) du RGPD).
  2. Si une personne concernée s'adresse directement au prestataire, celui-ci transmet immédiatement la demande au client. Il n'y répond pas lui-même, sauf sur instruction du client.

Article 8 : Assistance pour les autres obligations, notification des violations

  1. Le prestataire aide le client à respecter les obligations prévues aux articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations à sa disposition (article 28, paragraphe 3, point f) du RGPD). Cela couvre la sécurité du traitement, la notification et la communication des violations ainsi que l'analyse d'impact relative à la protection des données.
  2. Le prestataire notifie au client toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance (article 33, paragraphe 2 du RGPD). La notification contient, dans la mesure où elles sont disponibles, les informations prévues à l'article 33, paragraphe 3 du RGPD. Les informations qui ne sont pas encore disponibles sont communiquées ultérieurement.

Article 9 : Effacement et restitution

  1. Le prestataire efface automatiquement les données du client à l'expiration de la durée de conservation indiquée à l'annexe 1. Sur instruction du client, il les efface plus tôt.
  2. À la fin du contrat principal, le prestataire efface toutes les données du client encore conservées, au plus tard à l'expiration de cette durée de conservation (article 28, paragraphe 3, point g) du RGPD). Font exception les données que le prestataire est tenu de conserver en vertu du droit de l'Union ou du droit d'un État membre.
  3. Le service met les résultats du traitement immédiatement à la disposition du client pour téléchargement. Le prestataire n'est tenu à aucune autre restitution. Les données d'origine restent chez le client.

Article 10 : Preuves et audits

  1. Le prestataire met à la disposition du client, sur demande, toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD (article 28, paragraphe 3, point h) du RGPD). Il peut s'agir de certificats ou de justificatifs des sous-traitants ultérieurs.
  2. Le client, ou un auditeur mandaté par lui et tenu au secret, peut réaliser des audits, y compris des inspections. Il annonce une inspection par écrit au moins 30 jours à l'avance, sauf en cas de soupçon fondé de violation. Elle a lieu pendant les heures ouvrables habituelles, sans perturber l'exploitation, et en règle générale au plus une fois par année civile. Les centres de données des sous-traitants ultérieurs sont contrôlés au moyen de leurs justificatifs.
  3. Le client supporte les coûts d'une inspection, sauf si elle révèle un manquement important du prestataire au présent accord.

Article 11 : Responsabilité

La responsabilité envers les personnes concernées est régie par l'article 82 du RGPD. Pour le reste, les dispositions du contrat principal relatives à la responsabilité s'appliquent entre les parties.

Article 12 : Conclusion de l'accord et dispositions finales

  1. Le présent accord fait partie intégrante des conditions générales du service concerné. Il est conclu sous forme électronique (article 28, paragraphe 9 du RGPD) dès que le client accepte les conditions générales, par exemple lors de l'inscription. Il s'applique à toutes les données à caractère personnel que le client traite dans le service à compter de ce moment.
  2. Sur demande, le prestataire met également le présent accord à la disposition du client sous forme de document signé (PDF).
  3. En cas de contradiction, le présent accord prévaut sur le contrat principal pour ce qui concerne la protection des données à caractère personnel.
  4. Toute modification ou tout complément doit être fait par écrit, y compris par voie électronique. Il en va de même pour toute renonciation à cette exigence de forme.
  5. Si une disposition est invalide, la validité des autres dispositions n'en est pas affectée.
  6. Le présent accord est soumis au droit allemand. Le tribunal compétent est celui de Francfort-sur-le-Main, dans la mesure où la loi le permet.

La version allemande de cet accord fait foi.

Annexes de Facturx-Prêt (facturx-pret.fr)

Les annexes 1 à 3 décrivent le traitement, les mesures de sécurité et les sous-traitants ultérieurs du service Facturx-Prêt.

Annexe 1 : Détails du traitement

Annexe 1 : Détails du traitement
Objet et finalitéGénération, conversion et contrôle (validation) de factures électroniques (factures, avoirs, factures rectificatives, factures d'acompte et autofactures) au format Factur-X (PDF/A-3 avec XML CII, profil EN 16931), à partir de données que le client saisit dans le formulaire, importe sous forme de fichier (PDF, image, CSV, Excel, XML, relevé MT940) ou transmet par fichier CSV ou Excel en traitement par lot. Le client peut aussi enregistrer dans son compte un profil de vendeur et un carnet de clients, pour préremplir ses factures, et retrouve dans l'historique du compte les factures générées, dont le fichier peut être téléchargé de nouveau pendant la durée de conservation.
Nature du traitementRéception, lecture, transformation, contrôle, conservation limitée dans le temps, mise à disposition pour téléchargement, effacement. Pour certains fichiers, lecture assistée par IA (annexe 3, n° 2).
Types de données à caractère personnel
  • Noms, raisons sociales, adresses et coordonnées (e-mail, téléphone) des émetteurs, des destinataires et des interlocuteurs figurant sur les factures.
  • Identifiants fiscaux et d'entreprise (numéro de TVA, SIREN, SIRET, numéro fiscal).
  • Coordonnées bancaires (IBAN, BIC, titulaire du compte).
  • Pour le profil de vendeur et le carnet de clients enregistrés dans le compte : raison sociale, nom et libellé, adresse, adresse e-mail, forme juridique, capital, inscriptions au RCS ou au RM, SIREN, SIRET, numéro de TVA, référence acheteur, conditions de paiement, mentions légales et modèle de numérotation des factures.
  • Pour l'historique des factures du compte : numéro, date, nom du destinataire, montant total avec TVA, devise et type de document de chaque facture générée (l'historique ne contient pas les factures elles-mêmes).
  • Données de facturation et de prestation (lignes, montants, dates, références telles que numéros de commande, de contrat ou de projet).
  • Pour les relevés bancaires importés (MT940) : numéro de compte et libellés des opérations.
  • Toute autre indication contenue dans les fichiers transmis.
Catégories de personnes concernéesClients, fournisseurs et autres partenaires commerciaux du client, par exemple les destinataires des factures ; leurs interlocuteurs et salariés ; les salariés du client cités dans les factures ; les tiers cités dans les relevés bancaires importés.
Durée de conservationLes fichiers importés et les résultats générés avec un compte client sont conservés sous un identifiant technique, sans leur nom d'origine ni le nom ou l'adresse e-mail du client, et effacés automatiquement 90 jours après le traitement (purge quotidienne), de même que les fichiers de suivi associés (manifestes). Sur instruction du client, ils sont effacés plus tôt. Les fichiers de factures ne figurent dans aucune sauvegarde. Hors compte (mode invité), les fichiers sont effacés après 7 jours ; le présent accord ne s'applique toutefois qu'aux clients disposant d'un compte. Le profil de vendeur, le carnet de clients et l'historique des factures du compte sont conservés jusqu'à leur suppression par le client ou la suppression du compte ; ils figurent dans les sauvegardes de la base de données des comptes (annexe 2), conservées 14 jours. Lorsque le client supprime son compte depuis « Mon compte », les fichiers de factures du compte (résultats, fichiers sources et fichiers de suivi) sont d'abord effacés du stockage du prestataire ; s'ils ne peuvent pas l'être, le compte n'est pas supprimé. Le compte, ces données, les compteurs rattachés au compte et les jetons de réinitialisation du mot de passe sont ensuite supprimés de la base de données. Les sauvegardes ne contiennent aucun fichier de facture.
Lieu du traitementServeurs de Hetzner Online GmbH, centre de données de Nuremberg, Allemagne. Exception : la lecture assistée par IA de certains fichiers (annexe 3, n° 2) : Microsoft Azure OpenAI Service — déploiement régional (Standard) dans la région Azure Sweden Central (UE) : les requêtes y sont traitées. La saisie dans le formulaire, la génération du XML Factur-X, la validation et le traitement par lot de fichiers CSV et Excel s'exécutent sur les serveurs en Allemagne, sans IA : le contenu des fichiers d'un lot n'est jamais transmis à Microsoft.

Annexe 2 : Mesures techniques et organisationnelles (article 32 du RGPD)

1. Confidentialité

  • Contrôle d'accès physique : Les serveurs se trouvent dans le centre de données de Hetzner Online GmbH à Nuremberg. L'accès physique y est régi par Hetzner. Le prestataire n'exploite pas de salle serveur propre.
  • Contrôle d'accès au système
    • Accès d'administration uniquement par SSH avec une clé cryptographique ; l'authentification par mot de passe est désactivée.
    • Un pare-feu n'autorise publiquement que les services SSH, HTTP et HTTPS.
    • L'interface interne de l'application (API) et les services de validation ne sont joignables que localement sur le serveur ; l'API est protégée par une clé interne.
  • Contrôle d'accès aux données
    • Les comptes clients sont protégés par un mot de passe, stocké uniquement sous forme de hachage bcrypt.
    • Limitation des tentatives de connexion au niveau du serveur web : 5 requêtes par minute et par adresse IP (courte rafale tolérée) sur la connexion, l'inscription et la réinitialisation du mot de passe.
    • Limitation des tentatives de connexion par l'application : 50 tentatives par 15 minutes et par réseau (adresse IP, ou réseau /64 pour IPv6), 10 tentatives par 15 minutes pour un même réseau et une même adresse e-mail, et 100 tentatives par heure pour un même compte, quel que soit le réseau ; l'inscription est limitée à 5 par heure et par réseau, et les demandes de réinitialisation du mot de passe sont également limitées. Ces limites comptent toutes les tentatives, réussies ou non.
    • Le lien de réinitialisation du mot de passe est à usage unique et valable une heure ; un changement de mot de passe ferme les sessions ouvertes auparavant.
    • Seuls le gérant et les personnes qu'il autorise expressément, tenues à la confidentialité, ont accès aux serveurs.
    • Les secrets sont répartis entre les conteneurs : le conteneur de l'API, qui lit des fichiers non fiables, ne détient ni les clés de paiement ni le secret d'authentification des comptes ; le conteneur web ne détient ni les identifiants Azure OpenAI ni ceux de la messagerie.
  • Contrôle de la séparation : Les fichiers conservés sont rangés séparément selon le type d'utilisateur (invité ou compte), la date et l'identifiant de l'opération. Le profil de vendeur, les clients enregistrés et l'historique d'un compte sont rattachés à son identifiant interne, et chaque lecture ou écriture est limitée à l'identifiant du compte connecté ; le fichier d'une facture n'est rendu qu'au compte qui l'a généré, sur une demande signée entre l'application web et l'API.
  • Minimisation : Les fichiers importés et les résultats sont conservés sous un identifiant technique, sans leur nom d'origine ni le nom ou l'adresse e-mail du client.

2. Intégrité

  • Contrôle de la transmission
    • Toutes les connexions au service sont chiffrées par TLS (HTTPS). Les appels non chiffrés sont redirigés vers HTTPS, et le navigateur est invité à n'utiliser que HTTPS (HSTS).
    • La copie de sauvegarde de la base de données des comptes est transférée vers le second serveur par une connexion chiffrée (SSH).
    • Le contrôle des factures électroniques et des fichiers PDF/A générés (XSD, Schematron EN 16931, PDF/A) s'effectue localement, sans transmission à des tiers.
  • Contrôle de la saisie : Journaux du serveur web et des conteneurs. Les journaux d'accès du serveur web sont renouvelés chaque jour et effacés après 14 jours ; les journaux des conteneurs ont un volume limité et sont écrasés en continu.

3. Disponibilité et résilience

  • Sauvegarde : La base de données des comptes (comptes, lien avec la facturation, profils de vendeur, carnets de clients et historiques de factures enregistrés, compteurs de quota et de limitation des tentatives) est sauvegardée chaque jour : une copie sur le même serveur et une copie sur un second serveur de Hetzner Online GmbH à Nuremberg, transférée par SSH. Les deux copies sont conservées 14 jours. Les sauvegardes réalisées avant chaque mise en production ou modification manuelle sont également effacées après 14 jours. Les copies (sur le serveur et sur le second serveur) ne sont pas chiffrées au repos ; le transfert vers le second serveur est chiffré (SSH). Les fichiers de factures importés et les résultats ne figurent dans aucune sauvegarde.
  • Exploitation : Les services s'exécutent dans des conteneurs distincts. Les conteneurs de l'application web et de l'API ont des limites de mémoire et de nombre de processus ; les services de validation ont une limite de mémoire. Tous ont des privilèges réduits (sans nouveaux privilèges, capacités système retirées), des contrôles de santé et un redémarrage automatique en cas d'arrêt.

4. Procédures de contrôle, d'analyse et d'évaluation régulières

  • Tests : Les tests automatisés de l'application web s'exécutent lors de la construction de l'image ; la construction échoue si un test échoue. Ceux de l'API sont exécutés avant chaque livraison.
  • Concept d'effacement (appliqué automatiquement)
    • Fichiers importés et résultats, avec leurs manifestes : 90 jours avec un compte, ou jusqu'à la suppression du compte par le client si elle intervient avant (7 jours en mode invité) ;
    • profil de vendeur, carnet de clients et historique des factures : jusqu'à leur suppression par le client ou la suppression du compte, puis jusqu'à 14 jours dans les copies de sauvegarde ;
    • journaux d'accès du serveur web : 14 jours ; journaux des conteneurs : volume limité, écrasés en continu ;
    • copies de sauvegarde de la base de données des comptes : 14 jours ;
    • compteurs de quota et de limitation des tentatives : au plus 32 jours.
  • Protection des données par défaut : Les outils de mesure d'audience ne sont chargés qu'avec le consentement de l'utilisateur. Les noms de fichiers, adresses e-mail et contenus de factures ne leur sont pas transmis.

Annexe 3 : Sous-traitants ultérieurs

Annexe 3 : Sous-traitants ultérieurs
N°Sous-traitant ultérieurPrestationLieu du traitement
1Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne

Hébergement, stockage et sauvegarde.

Centre de données de Nuremberg, Allemagne
2Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlande

Azure OpenAI Service : lecture assistée par IA de fichiers importés, uniquement dans les cas suivants.

  • Fichiers image (JPG, JPEG, PNG, HEIC) : toujours ; les images et le texte reconnu par OCR sont transmis.
  • PDF sans texte exploitable (par exemple un document numérisé) ou dont l'extraction automatique est incomplète ou incertaine (numéro ou date de facture, coordonnées du vendeur ou de l'acheteur, identifiant fiscal du vendeur ou lignes manquants ou ambigus) : le texte extrait est transmis avec le nom du fichier puis, si cela ne suffit pas, les images des pages (10 pages au plus). Un PDF contenant un XML Factur-X complet n'est en principe pas lu par l'IA.
  • Fichiers CSV ou Excel importés un à un (hors traitement par lot) dont la structure de colonnes n'est pas reconnue : le contenu du fichier (pour un classeur Excel, les 100 premières lignes de chaque feuille) et son nom sont transmis.
  • Fichiers XML qui ne sont ni du CII (Factur-X/ZUGFeRD) ni un relevé camt.053, par exemple XML UBL : le contenu du fichier et son nom sont transmis. Un fichier CII que notre lecteur XML sécurisé ne peut pas analyser (par exemple un XML invalide) est transmis lui aussi (sans son nom d'origine). Un fichier CII bien formé que la lecture ne parvient pas à interpréter n'est pas envoyé à l'IA, et les relevés camt.053 ne le sont jamais.
  • Relevés bancaires MT940 (.sta, .mt940, .940, .mt9) : toujours ; les 10 000 premiers caractères du relevé et le nom du fichier sont transmis.

Aucune IA n'intervient pour la saisie dans le formulaire, la génération du XML Factur-X, le traitement par lot de fichiers CSV et Excel ni la validation. Un échec de validation n'entraîne aucun nouvel appel à l'IA. Selon les conditions de Microsoft, les contenus transmis ne sont pas utilisés pour entraîner les modèles.

Microsoft Azure OpenAI Service — déploiement régional (Standard) dans la région Azure Sweden Central (UE) : les requêtes y sont traitées.
3Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande

Google Workspace : messagerie du support, uniquement si le client envoie des fichiers ou des données de facture par e-mail au support.

UE ; un transfert vers Google LLC (États-Unis) ne peut être exclu et repose sur le cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le prestataire y est certifié.
Version allemande (fait foi) / Deutsche Fassung (maßgeblich)

Vereinbarung zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Radom UG (haftungsbeschränkt) · Version 1.2.1, Stand: Oktober 2026

Präambel

Der Kunde nutzt einen Online-Dienst der Radom UG (haftungsbeschränkt) nach den Allgemeinen Geschäftsbedingungen dieses Dienstes (im Folgenden „Hauptvertrag“). Dabei verarbeitet die Radom UG personenbezogene Daten im Auftrag des Kunden. Diese Vereinbarung regelt die Rechte und Pflichten der Parteien nach Art. 28 DSGVO.

Parteien

  • Verantwortlicher (im Folgenden „Kunde“): der Unternehmer, der den Dienst mit einem Kundenkonto nutzt.
  • Auftragsverarbeiter (im Folgenden „Anbieter“): Radom UG (haftungsbeschränkt), Telemannstr. 2, 60323 Frankfurt am Main, Amtsgericht Frankfurt am Main, HRB 141671, vertreten durch den Geschäftsführer Arber Lamce.

§ 1 Gegenstand, Dauer und Einzelheiten der Verarbeitung

  1. Gegenstand ist die Verarbeitung personenbezogener Daten, die der Kunde bei der Nutzung des Dienstes eingibt oder hochlädt. Gegenstand, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten, die Kategorien betroffener Personen und die Speicherdauer ergeben sich aus Anlage 1 des jeweiligen Dienstes.
  2. Diese Vereinbarung gilt für die Dauer des Hauptvertrags. Pflichten zur Löschung (§ 9) und zur Vertraulichkeit (§ 4) bestehen darüber hinaus fort, solange der Anbieter Daten des Kunden verarbeitet.
  3. Daten, die der Anbieter als eigener Verantwortlicher verarbeitet, fallen nicht unter diese Vereinbarung. Das sind insbesondere die Kontodaten des Kunden, die Abrechnung, Server-Logfiles und der Missbrauchsschutz. Für sie gilt die Datenschutzerklärung des Dienstes.

§ 2 Weisungen

  1. Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei der Übermittlung in ein Drittland. Ausgenommen ist eine Verarbeitung, zu der der Anbieter nach dem Recht der Union oder eines Mitgliedstaats verpflichtet ist. In diesem Fall teilt er dem Kunden die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
  2. Die Weisungen ergeben sich aus dem Hauptvertrag, dieser Vereinbarung und der Nutzung der Funktionen des Dienstes durch den Kunden. Weitere Weisungen erteilt der Kunde in Textform (z. B. per E-Mail). Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, werden als Antrag auf eine Leistungsänderung behandelt.
  3. Ist der Anbieter der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Kunden unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

§ 3 Pflichten des Kunden

  1. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Zulässigkeit der Übermittlung der Daten an den Anbieter und für die Wahrung der Rechte der betroffenen Personen.
  2. Der Kunde informiert den Anbieter unverzüglich, wenn er bei der Prüfung der Ergebnisse Fehler oder Unregelmäßigkeiten in Bezug auf datenschutzrechtliche Bestimmungen feststellt.

§ 4 Vertraulichkeit

Der Anbieter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Pflicht besteht auch nach Ende ihrer Tätigkeit fort.

§ 5 Sicherheit der Verarbeitung

  1. Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind.
  2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Anbieter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.

§ 6 Unterauftragsverarbeiter

  1. Der Kunde erteilt dem Anbieter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Abschluss eingesetzten Unterauftragsverarbeiter stehen in Anlage 3 und gelten als genehmigt.
  2. Der Anbieter informiert den Kunden mindestens 30 Tage vorher in Textform, wenn er einen Unterauftragsverarbeiter hinzufügen oder ersetzen will. Die Information erfolgt per E-Mail an die im Kundenkonto hinterlegte Adresse. Der Kunde kann der Änderung innerhalb von 14 Tagen nach Zugang aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Einigen sich die Parteien nicht, kann jede Partei den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen.
  3. Der Anbieter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in dieser Vereinbarung festgelegt sind (Art. 28 Abs. 4 DSGVO).
  4. Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, z. B. durch einen Angemessenheitsbeschluss oder Standardvertragsklauseln.

§ 7 Unterstützung bei den Rechten betroffener Personen

  1. Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen nach Kapitel III der DSGVO (Art. 28 Abs. 3 lit. e DSGVO).
  2. Wendet sich eine betroffene Person direkt an den Anbieter, leitet der Anbieter das Anliegen unverzüglich an den Kunden weiter. Er beantwortet es nicht selbst, außer auf Weisung des Kunden.

§ 8 Unterstützung bei weiteren Pflichten, Meldung von Verletzungen

  1. Der Anbieter unterstützt den Kunden bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, soweit es die Art der Verarbeitung und die ihm verfügbaren Informationen zulassen (Art. 28 Abs. 3 lit. f DSGVO). Dazu gehören die Sicherheit der Verarbeitung, die Meldung und Benachrichtigung bei Verletzungen sowie die Datenschutz-Folgenabschätzung.
  2. Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO. Angaben, die noch nicht vorliegen, reicht er nach.

§ 9 Löschung und Rückgabe

  1. Der Anbieter löscht die Daten des Kunden automatisch nach Ablauf der in Anlage 1 genannten Speicherdauer. Auf Weisung des Kunden löscht er sie früher.
  2. Nach Ende des Hauptvertrags löscht der Anbieter alle noch gespeicherten Daten des Kunden spätestens mit Ablauf dieser Speicherdauer (Art. 28 Abs. 3 lit. g DSGVO). Ausgenommen sind Daten, zu deren Speicherung der Anbieter nach Unionsrecht oder dem Recht eines Mitgliedstaats verpflichtet ist.
  3. Die Ergebnisse der Verarbeitung stellt der Dienst dem Kunden unmittelbar zum Download bereit. Eine darüber hinausgehende Rückgabe schuldet der Anbieter nicht. Die Ausgangsdaten verbleiben beim Kunden.

§ 10 Nachweise und Überprüfungen

  1. Der Anbieter stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO). Dazu können Zertifikate oder Nachweise der Unterauftragsverarbeiter gehören.
  2. Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Überprüfungen einschließlich Inspektionen durchführen. Eine Inspektion meldet er mindestens 30 Tage vorher in Textform an, außer bei einem begründeten Verdacht auf eine Verletzung. Sie findet zu den üblichen Geschäftszeiten statt, ohne den Betrieb zu stören, und in der Regel höchstens einmal im Kalenderjahr. Rechenzentren der Unterauftragsverarbeiter werden über deren Nachweise geprüft.
  3. Der Kunde trägt die Kosten einer Inspektion, außer sie ergibt einen wesentlichen Verstoß des Anbieters gegen diese Vereinbarung.

§ 11 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten im Übrigen die Haftungsregelungen des Hauptvertrags.

§ 12 Vertragsschluss und Schlussbestimmungen

  1. Diese Vereinbarung ist Bestandteil der Allgemeinen Geschäftsbedingungen des jeweiligen Dienstes. Sie wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO), sobald der Kunde den AGB zustimmt, z. B. bei der Registrierung. Sie gilt für alle personenbezogenen Daten, die der Kunde ab diesem Zeitpunkt im Dienst verarbeitet.
  2. Auf Wunsch stellt der Anbieter dem Kunden diese Vereinbarung zusätzlich als unterzeichnetes Dokument (PDF) zur Verfügung.
  3. Bei Widersprüchen geht diese Vereinbarung dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht.
  4. Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für den Verzicht auf dieses Formerfordernis.
  5. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
  6. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Frankfurt am Main, soweit gesetzlich zulässig.