Vertragshinweis: Dieses Dokument ist ein Vertragsmuster und noch keine abgeschlossene Vereinbarung. Die gekennzeichneten Angaben, Anlagen und kundenspezifischen Unterauftragnehmer sind vor Unterzeichnung zu vervollständigen. Eine rechtliche Prüfung für den konkreten Einsatzfall bleibt empfohlen.
Verantwortlicher/Auftraggeber:
Firma
Anschrift
Vertretungsberechtigte Person
Auftragsverarbeiter/Auftragnehmer:
Octramind AI GmbH, Arnheimer Str. 42, 40489 Düsseldorf, Deutschland
vertreten durch die Geschäftsführer Martin Kolisch und Andreas Samoilov
E-Mail: hello@synordis.com
Der Auftragnehmer stellt dem Auftraggeber die Softwarelösung Synordis einschließlich vereinbarter Hosting-, Support-, Import-, KI- und Integrationsleistungen bereit. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Bei Widersprüchen gehen diese Vereinbarung und ihre Anlagen hinsichtlich der Auftragsverarbeitung dem Hauptvertrag vor.
Die Verarbeitung erfolgt für die Dauer des Hauptvertrags. Pflichten, die ihrer Natur nach fortbestehen, insbesondere Vertraulichkeits-, Nachweis-, Rückgabe- und Löschpflichten, gelten darüber hinaus.
Speicherung, Strukturierung, Organisation, Suche, Anzeige, Übermittlung, Import, Analyse, Erstellung, Änderung, Sicherung, Wiederherstellung und Löschung von Daten zur Bereitstellung von Legal Operations, Vertrags- und Vorgangsmanagement sowie vereinbarten KI-Funktionen. Der Auftragnehmer verarbeitet Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit keine gesetzliche Verpflichtung entgegensteht.
| Kategorien betroffener Personen | Beschäftigte, Organmitglieder, Ansprechpartner von Kunden, Lieferanten und Vertragspartnern, Requester, Nutzer, externe Berater sowie weitere Personen, deren Daten der Auftraggeber in Synordis einstellt. |
|---|---|
| Datenarten | Stamm- und Kontaktdaten, Organisations- und Berechtigungsdaten, Vertrags- und Vorgangsdaten, Kommunikationsinhalte, Dokumente, Nutzungs- und Protokolldaten. Besondere Kategorien personenbezogener Daten oder strafrechtlich relevante Daten nur, soweit vom Auftraggeber eingestellt und vertraglich zulässig. |
| Besonderheiten | Die konkrete Daten- und Personenkategorisierung wird vor Vertragsschluss bei Bedarf ergänzt: |
Weisungen ergeben sich zunächst aus Hauptvertrag, Produktkonfiguration und dieser Vereinbarung. Weitere Weisungen erfolgen in Textform über die vereinbarten Kontaktwege. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Umsetzung bis zur Klärung aussetzen.
Der Auftragnehmer setzt nur auf Vertraulichkeit verpflichtete Personen ein und beschränkt Zugriffe auf das erforderliche Maß. Soweit dem Auftragnehmer im Rahmen der Leistung fremde Geheimnisse im Sinne der anwaltlichen Verschwiegenheit zugänglich werden, verpflichtet er sich entsprechend § 43e Abs. 3 BRAO, diese vertraulich zu behandeln, sich nur soweit zur Vertragserfüllung erforderlich Kenntnis zu verschaffen und zulässig eingesetzte weitere Personen in Textform entsprechend zu verpflichten. Die strafrechtlichen Folgen einer unbefugten Offenbarung werden beachtet.
Der Auftragnehmer trifft angemessene Maßnahmen nach Art. 32 DSGVO. Maßgeblich ist die jeweils vereinbarte Fassung der Anlage „Technische und organisatorische Maßnahmen“, abrufbar unter synordis.com/downloads/synordis-tom-v1.1.html. Maßnahmen dürfen entsprechend dem technischen Fortschritt weiterentwickelt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird.
Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und verfügbaren Informationen angemessen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Konsultationen von Aufsichtsbehörden sowie der Erfüllung der Pflichten aus Art. 32 bis 36 DSGVO. Anfragen betroffener Personen leitet er unverzüglich weiter und beantwortet sie nicht eigenständig, soweit keine gesetzliche Pflicht besteht.
Verletzungen des Schutzes personenbezogener Daten im Verantwortungsbereich des Auftragnehmers werden dem Auftraggeber unverzüglich nach Bekanntwerden gemeldet. Die Meldung enthält, soweit verfügbar, Art und Umfang, betroffene Daten und Personen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und einen Kontaktpunkt. Informationen können schrittweise ergänzt werden.
Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 aufgeführten Unterauftragnehmer. Über beabsichtigte Änderungen wird mit angemessener Frist informiert; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Der Auftragnehmer verpflichtet Unterauftragnehmer mindestens zu gleichwertigen Datenschutz- und Vertraulichkeitspflichten.
| Unterauftragnehmer | Leistung | Ort |
|---|---|---|
| IONOS SE, Deutschland | Hosting- und Rechenzentrumsinfrastruktur | Deutschland / EU |
| Weitere kundenspezifische Dienste | Nur soweit für Signatur, Recherche, KI oder Integration vereinbart; vor Aktivierung konkret zu ergänzen. | Ort/Transfergrundlage |
Stripe Payments Europe, Ltd. kann für die optionale Zahlungsabwicklung eingesetzt werden. Stripe verarbeitet keine produktiven Mandats- oder Vertragsdaten; die datenschutzrechtliche Rolle richtet sich nach dem konkreten Zahlungsvorgang.
Produktive Synordis-Daten werden grundsätzlich innerhalb der EU verarbeitet. Übermittlungen in Drittländer erfolgen nur auf dokumentierte Weisung oder vertraglicher Grundlage und bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO. Kundenindividuelle externe Dienste werden vor Aktivierung einschließlich Standort und Transfermechanismus dokumentiert.
Der Auftragnehmer stellt erforderliche Informationen zum Nachweis der Pflichten zur Verfügung. Der Auftraggeber darf nach angemessener Vorankündigung und unter Wahrung von Vertraulichkeit und Betriebssicherheit Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Vorrangig können aktuelle Dokumentationen, Zertifikate der Infrastruktur und Prüfberichte verwendet werden. Anlassbezogene Kontrollen bleiben unberührt.
Nach Ende des Hauptvertrags gibt der Auftragnehmer personenbezogene Daten nach Wahl und Weisung des Auftraggebers in einem vereinbarten Format zurück oder löscht sie, soweit keine gesetzliche Aufbewahrungspflicht besteht. Sicherungskopien werden im Rahmen des dokumentierten Backup-Zyklus überschrieben oder gelöscht und bis dahin gesperrt. Die Löschung wird auf Anfrage bestätigt.
Der Auftraggeber bleibt für Rechtmäßigkeit, Rechtsgrundlagen, Transparenz, Datenminimierung, Aufbewahrungsfristen, Nutzerberechtigungen und Weisungen verantwortlich. Die Haftung richtet sich nach Art. 82 DSGVO und den Regelungen des Hauptvertrags, soweit gesetzlich zulässig.
Änderungen bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Es gilt deutsches Recht. Gerichtsstand wird im Hauptvertrag vereinbart.
| Auftraggeber | Auftragnehmer |
|---|---|
| Ort/Datum: Name/Funktion: Unterschrift: | Ort/Datum: Octramind AI GmbH Unterschrift: |