Auftragsverarbeitungsvertrag — Business Edition

1. Gegenstand und Dauer

1.1 Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden ausschließlich zur Bereitstellung der Trusted Codes Business Edition: eines Verifizierungsdienstes, der wortbasierte Zugangscodes zwischen identifizierten Personen erzeugt und prüft, zusammen mit den in der Produktdokumentation beschriebenen Funktionen zur Organisationsverwaltung, Benachrichtigung und Unterstützung.

1.2 Die Dauer der Verarbeitung entspricht der Laufzeit des Abonnements des Kunden, verlängert um die Löschfristen in Abschnitt 10.

2. Art und Zweck der Verarbeitung

2.1 Der Anbieter verarbeitet personenbezogene Daten ausschließlich, um:

• Benutzerkonten und die Mitgliedschaft in Organisationen anzulegen und zu verwalten;
• Zugangscodes und zugehöriges kryptografisches Material zu erzeugen, zu verteilen und zu prüfen;
• Benachrichtigungen per E-Mail und Push-Nachricht zuzustellen;
• die Verwaltungskonsole, Auswertungen und Unterstützung bereitzustellen;
• den Dienst vor Betrug und Missbrauch zu schützen;
• eigene gesetzliche Pflichten zu erfüllen.

2.2 Der Anbieter verkauft keine personenbezogenen Daten und verwendet sie nicht zum Training von Modellen des maschinellen Lernens. Folgende Daten verarbeitet der Anbieter als eigenständig Verantwortlicher und nicht im Auftrag des Kunden: Daten, die zum Schutz des Dienstes vor Betrug und Missbrauch erforderlich sind (einschließlich der Risikobewertung bei der Anmeldung), Abrechnungsdaten, Daten zur Erfüllung gesetzlicher Pflichten sowie Statistiken über die Nutzung des Dienstes. Hinterlegt ein Endnutzer einen eigenen API-Schlüssel für den Assistenten, erhält das Unternehmen, von dem dieser Schlüssel stammt, die Inhalte des Assistenten auf Weisung des Endnutzers; dieses Unternehmen ist kein Unterauftragsverarbeiter des Anbieters.

3. Arten personenbezogener Daten

3.1 Folgende Kategorien können verarbeitet werden:

3.2 Code-Geheimnisse. Soweit die Anwendung des Endnutzers dies unterstützt, werden Code-Geheimnisse auf dem Gerät des Endnutzers für bestimmte Empfängergeräte verschlüsselt (X25519, AES-GCM); diese Kopie kann der Anbieter nicht entschlüsseln. In den folgenden Fällen werden Code-Geheimnisse zusätzlich vom Anbieter verarbeitet; dabei sind sie im Ruhezustand mit AES-256-GCM unter einem Schlüssel verschlüsselt, über den der Anbieter verfügt und der in einem von der Datenbank getrennten Schlüsselverwaltungsdienst in der Europäischen Union verwahrt wird, und können von den Servern des Anbieters entschlüsselt werden: (a) vom Dienst erzeugte Verbindungs- und Organisationscodes; (b) Codeerzeugung für maschinelle Clients und die Desktop-Anwendung; (c) Zustellung von Einladungen, bis das Gerät des Empfängers das Geheimnis erhalten hat; (d) Konten, die die serverseitige Schlüsselsicherung nutzen; (e) Demonstrationskonten.

4. Kategorien betroffener Personen

• Mitglieder, Beschäftigte und Administratoren des Kunden;
• verifizierte Kontakte des Kunden, also externe Personen, die der Kunde verifiziert;
• vom Kunden eingeladene Personen, die noch nicht angenommen haben;
• Personen, die einen vom Kunden ausgegebenen Code prüfen.

5. Weisungen des Verantwortlichen

5.1 Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden. Dieser Vertrag, die Nutzungsbedingungen und die Nutzung der Produktfunktionen durch den Kunden bilden diese Weisungen.

5.2 Der Anbieter informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen das Datenschutzrecht verstößt. Der Anbieter darf die Ausführung dieser Weisung aussetzen, bis die Frage geklärt ist.

5.3 Ist der Anbieter nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung über die Weisungen des Kunden hinaus verpflichtet, informiert er den Kunden vor der Verarbeitung über diese rechtliche Anforderung, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

5.4 Verbinden sich Nutzer des Kunden mit Nutzern von Servern, die von anderen Betreibern betrieben werden (Föderation), übermittelt der Anbieter die für diese Verbindung erforderlichen Daten auf Weisung des Kunden an diese Server. Die anderen Betreiber sind keine Unterauftragsverarbeiter des Anbieters.

6. Vertraulichkeit

6.1 Der Anbieter stellt sicher, dass jede zur Verarbeitung der personenbezogenen Daten befugte Person zur Vertraulichkeit verpflichtet ist, sei es vertraglich oder gesetzlich, und dass diese Pflicht über das Ende ihrer Tätigkeit hinaus fortbesteht.

6.2 Der Zugang ist auf die Personen beschränkt, die ihn zur Erbringung des Dienstes oder zur Erfüllung einer gesetzlichen Pflicht benötigen.

7. Sicherheit der Verarbeitung (Artikel 32 DSGVO)

7.1 Der Anbieter wendet die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen an. Der Kunde hat diese Maßnahmen geprüft und hält sie für dem Risiko angemessen.

7.2 Der Anbieter darf die Maßnahmen ändern, sofern das Schutzniveau nicht verringert wird.

8. Unterauftragsverarbeiter

8.1 Der Kunde erteilt eine allgemeine Genehmigung für den Einsatz von Unterauftragsverarbeitern. Die aktuelle Liste ist Anlage 2. Sie wird zusätzlich auf einer eigenen Seite veröffentlicht, damit sie unabhängig von diesem Vertrag datiert und ersetzt werden kann.

8.2 Der Anbieter informiert den Kunden mindestens 30 Tage, bevor ein neuer Unterauftragsverarbeiter mit der Verarbeitung beginnt oder ein bestehender ersetzt wird. Die Mitteilung erfolgt per E-Mail an die Verwaltungskontaktstelle des Kunden und durch Aktualisierung der veröffentlichten Liste.

8.3 Der Kunde kann innerhalb dieser Frist aus nachvollziehbaren Datenschutzgründen widersprechen. Können die Parteien den Widerspruch nicht ausräumen, kann der Kunde das betroffene Abonnement kündigen; der nicht genutzte, im Voraus bezahlte Zeitraum wird erstattet.

8.4 Der Anbieter erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die denen dieses Vertrags mindestens gleichwertig sind, und haftet dem Kunden gegenüber unverändert für dessen Leistung.

9. Unterstützung des Verantwortlichen

9.1 Rechte betroffener Personen. Unter Berücksichtigung der Art der Verarbeitung unterstützt der Anbieter den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen nach Kapitel III DSGVO. Das Produkt stellt Export- und Löschfunktionen bereit, mit denen der Kunde die meisten Anträge ohne Beteiligung des Anbieters beantworten kann. Jeder Endnutzer kann außerdem seine eigenen personenbezogenen Daten im Produkt exportieren.

9.2 Der Anbieter leitet Anträge, die er unmittelbar von einer betroffenen Person zu den Daten des Kunden erhält, unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, es sei denn, er ist dazu rechtlich verpflichtet oder angewiesen.

9.3 Verletzung des Schutzes personenbezogener Daten. Der Anbieter benachrichtigt den Kunden unverzüglich, in jedem Fall innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten des Kunden bekannt geworden ist. Die Mitteilung beschreibt die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.

9.4 Der Anbieter unterstützt den Kunden bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen nach den Artikeln 35 und 36 DSGVO, soweit die Informationen dem Anbieter vorliegen und dem Kunden nicht zur Verfügung stehen.

10. Löschung und Rückgabe

10.1 Die Administratoren des Kunden können die Daten der Organisation während der gesamten Laufzeit des Abonnements und bis 30 Tage nach Vertragsende über die Exportfunktion des Produkts ausleiten. Jede Exportdatei steht nach ihrer Erstellung 7 Tage lang zum Herunterladen bereit. Steht dem Kunden die Exportfunktion nach Vertragsende nicht zur Verfügung, stellt der Anbieter den Export auf Anfrage innerhalb derselben 30 Tage bereit.

10.2 Nach Ablauf dieser Frist löscht der Anbieter die personenbezogenen Daten innerhalb weiterer 60 Tage, einschließlich aus Sicherungskopien nach Maßgabe des Sicherungszyklus, sofern nicht das Recht der Union oder eines Mitgliedstaats eine weitere Speicherung verlangt.

10.3 Abrechnungsunterlagen werden für die gesetzliche Aufbewahrungsfrist nach deutschem Handels- und Steuerrecht aufbewahrt.

11. Überprüfung

11.1 Der Anbieter stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich sind.

11.2 Der Anbieter erfüllt Prüfpflichten zunächst durch Vorlage von Unterlagen, darunter dieser Vertrag, Anlage 1, die Liste der Unterauftragsverarbeiter sowie jede Zertifizierung oder jeder Bericht Dritter, über den er verfügt.

11.3 Reichen diese Unterlagen nicht aus, kann der Kunde eine Prüfung durchführen oder einen unabhängigen Prüfer beauftragen, der kein Wettbewerber des Anbieters ist, unter folgenden Voraussetzungen: angemessene Vorankündigung von mindestens 30 Tagen, höchstens einmal je Kalenderjahr außer nach einer Verletzung des Schutzes personenbezogener Daten, Durchführung während der üblichen Geschäftszeiten, keine Störung des Dienstes und eine schriftliche Vertraulichkeitserklärung. Der Kunde trägt seine eigenen Kosten.

12. Übermittlungen in Drittländer

12.1 Einige Unterauftragsverarbeiter sind außerhalb des Europäischen Wirtschaftsraums ansässig; dies ist in Anlage 2 gekennzeichnet.

12.2 Für jede solche Übermittlung stützt sich der Anbieter auf die von der Europäischen Kommission erlassenen Standardvertragsklauseln (Beschluss 2021/914) zusammen mit den in Anlage 1 beschriebenen ergänzenden Maßnahmen. Ist der Empfänger von einem Angemessenheitsbeschluss erfasst, kann der Anbieter sich stattdessen darauf stützen.

12.3 Der Anbieter wählt eine europäische Verarbeitungsregion, sofern der Unterauftragsverarbeiter eine anbietet.

13. Haftung und Schlussbestimmungen

13.1 Die Haftung richtet sich nach den Nutzungsbedingungen. Artikel 82 DSGVO bleibt unberührt.

13.2 Widersprechen sich die Nutzungsbedingungen und dieser Vertrag hinsichtlich der Verarbeitung personenbezogener Daten, geht dieser Vertrag vor.

13.3 Der Anbieter kann diesen Vertrag ändern, soweit dies gesetzlich oder durch eine Änderung des Dienstes erforderlich ist. Wesentliche Änderungen werden mindestens 30 Tage im Voraus mitgeteilt. Widerspricht der Kunde, kann er das betroffene Abonnement kündigen; der nicht genutzte, im Voraus bezahlte Zeitraum wird erstattet.

13.4 Es gilt deutsches Recht. Gerichtsstand ist München, soweit das Gesetz eine Wahl zulässt.

13.5 Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag in Kraft.

Anlage 1 — Technische und organisatorische Maßnahmen

Anlage 2 — Unterauftragsverarbeiter

Diese Liste wird zusätzlich auf einer eigenen Seite veröffentlicht: trusted.codes/legal/subprocessors. Dort trägt sie ihr eigenes Datum und wird unabhängig von diesem Vertrag ersetzt.

Stand 2026-10-01

Annahmenachweis

Der Anbieter erfasst zu jeder Annahme: die annehmende Person, die Organisation, Kennung und Version des Dokuments, Datum und Uhrzeit, die Herkunftsadresse und die Kennung des Clients.

Der Kunde kann die genaue angenommene Fassung jederzeit unter der oben auf dieser Seite angegebenen versionierten Adresse abrufen. Die Versionskennung hängt nicht von der gelesenen Sprache ab: alle sechs Übersetzungen dieses Textes tragen die Version 2026-10-04.

Schließen die Parteien stattdessen einen verhandelten oder unterzeichneten Vertrag, speichert der Nachweis einen Verweis auf dieses Dokument und kennzeichnet die Quelle als offline.

Verhandelter oder unterzeichneter Vertrag

Ein Kunde, dessen eigene Rechtsabteilung einen verhandelten oder gegengezeichneten Vertrag benötigt, kann ihn anfordern unter privacy@trusted.codes. Die Annahme dieses Standardvertrags ist kein Verzicht auf diese Anforderung, und die Anforderung muss vor dem Kauf eines Abonnements nicht abgeschlossen sein: bis dahin gilt dieser Standardvertrag, und ein verhandelter Vertrag ersetzt ihn ab dem Tag der beiderseitigen Unterzeichnung.