Auftragsverarbeitungsvertrag (AVV)

1. Parteien und Geltung dieses Vertrags

Dieser Auftragsverarbeitungsvertrag („AVV“) besteht zwischen dem Kunden, der Requify für sein Unternehmen nutzt („Verantwortlicher“), und Array Dynamic FZE LLC, CWS-1V-229383, 26th Floor, Amber Gem Tower, Ajman, United Arab Emirates („Auftragsverarbeiter“). Er gilt, wenn der Verantwortliche personenbezogene Daten in Requify speichert und die DSGVO oder ein darauf beruhendes Gesetz auf diese Verarbeitung anwendbar ist. Er ist Bestandteil der Nutzungsbedingungen; mit der Annahme der Nutzungsbedingungen als Unternehmer nimmt der Verantwortliche auch diesen AVV an.

Kunden, die für ihre Unterlagen ein unterzeichnetes Exemplar benötigen, können es unter info@requify.tech anfordern.

2. Gegenstand, Dauer, Art und Zweck

• Gegenstand: Bereitstellung der Plattform Requify zum Schreiben, Prüfen, Versionieren und Exportieren von Anforderungen und Dokumentation.
• Dauer: solange der Verantwortliche den Dienst nutzt und bis die Daten nach Ziffer 10 gelöscht sind.
• Art: Hosting, Speichern, Anzeigen, Exportieren und, bei KI-Funktionen, die die Nutzer des Verantwortlichen verwenden, Analysieren von Text.
• Zweck: ausschließlich die Erbringung des Dienstes für den Verantwortlichen.

3. Arten personenbezogener Daten und betroffene Personen

Betroffene Personen: die Nutzer des Verantwortlichen (Beschäftigte, Auftragnehmer, eingeladene Prüfer) und in Dokumenten genannte Personen.

Arten von Daten:

• Kontodaten: Name, E-Mail-Adresse, Rolle, Organisationszugehörigkeit;
• Nutzungsdaten: Anmeldezeiten, Aktionen in Projekten (Audit-Protokoll), Verbrauch von KI-Tokens;
• Inhalte: alle personenbezogenen Daten, die die Nutzer des Verantwortlichen in Dokumente, Kommentare und Dateien schreiben.

Der Dienst ist nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) ausgelegt. Der Verantwortliche sollte solche Daten nicht darin speichern.

4. Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzungsbedingungen, dieser AVV und die Nutzung der Einstellungen des Dienstes durch den Verantwortlichen sind diese Weisungen. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, teilt er das dem Verantwortlichen mit. Verpflichtet ein Gesetz den Auftragsverarbeiter zu einer anderen Verarbeitung, teilt er das dem Verantwortlichen vorher mit, sofern das Gesetz dies nicht verbietet.

5. Vertraulichkeit

Alle Personen, die der Auftragsverarbeiter zur Verarbeitung personenbezogener Daten befugt, sind zur Vertraulichkeit verpflichtet. Der Zugriff auf Kundendaten ist auf das beschränkt, was für Betrieb, Support und Sicherheit des Dienstes nötig ist.

6. Sicherheit

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen in Anlage 1 (Art. 32 DSGVO). Er kann sie im Laufe der Zeit verbessern, senkt aber das Schutzniveau insgesamt nicht ab.

7. Unterauftragsverarbeiter

Der Verantwortliche genehmigt die Unterauftragsverarbeiter in Anlage 2. Der Auftragsverarbeiter verpflichtet jeden von ihnen vertraglich auf Datenschutzpflichten, die mindestens so schützend sind wie dieser AVV.

Neue oder ersetzte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter auf dieser Seite und, für zahlende Kunden, per E-Mail mindestens 30 Tage im Voraus an. Der Verantwortliche kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen; findet sich keine Lösung, kann der Verantwortliche die betroffene Leistung beenden, und im Voraus gezahlte Entgelte für die Zeit danach werden erstattet.

8. Übermittlungen außerhalb der EU/des EWR

Datenbank und Dateispeicher befinden sich in Frankfurt, Deutschland, und die Serverfunktionen laufen in Frankfurt. Einige Unterauftragsverarbeiter haben ihren Sitz außerhalb der EU/des EWR (Anlage 2). Übermittlungen stützen sich auf die Garantien des Kapitels V DSGVO, insbesondere auf die Standardvertragsklauseln der Europäischen Kommission in den Auftragsverarbeitungsverträgen der Unterauftragsverarbeiter.

KI-Funktionen: In der Standard-KI-Region (Voreinstellung) wird Text, der an KI-Funktionen gesendet wird, von DeepSeek in China verarbeitet; für China besteht kein Angemessenheitsbeschluss der EU. Der Verantwortliche kann einen Arbeitsbereich auf die EU-KI-Region umstellen (Einstellungen → KI-Nutzung); die KI-Verarbeitung nutzt dann ausschließlich Mistral AI in Frankreich, ohne Rückgriff auf andere Anbieter. Verantwortliche, die der DSGVO unterliegen, sollten für personenbezogene Daten die EU-KI-Region verwenden.

9. Unterstützung

• Anfragen betroffener Personen: Der Dienst ermöglicht dem Verantwortlichen, Daten zu exportieren und zu löschen; bei Anfragen, die der Verantwortliche nicht selbst erledigen kann, unterstützt der Auftragsverarbeiter.
• Verletzungen des Schutzes personenbezogener Daten: Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, nachdem ihm eine Verletzung bekannt wurde, die Daten des Verantwortlichen betrifft, mit den ihm vorliegenden Informationen, damit der Verantwortliche seine eigenen Fristen einhalten kann.
• Folgenabschätzungen und Behörden: Der Auftragsverarbeiter stellt die Informationen bereit, die ihm für Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden zumutbar möglich sind.

10. Löschung und Rückgabe

Der Verantwortliche kann seine Dokumente jederzeit exportieren. Löscht der Verantwortliche sein Konto oder seine Organisation im Dienst, löscht der Auftragsverarbeiter die zugehörigen Daten aus der produktiven Datenbank und dem Dateispeicher. Kopien, die nur noch in Sicherungen des Datenbankanbieters bestehen, werden mit Ablauf dieser Sicherungen entfernt. Daten, die der Auftragsverarbeiter gesetzlich aufbewahren muss (zum Beispiel Rechnungen), werden nur so lange aufbewahrt wie erforderlich.

11. Nachweise und Prüfungen

Der Auftragsverarbeiter stellt die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO nötig sind, einschließlich dieses AVV, der Anlage 1 und der Zertifikate und Berichte, die seine Unterauftragsverarbeiter veröffentlichen. Reicht das nicht aus, kann der Verantwortliche per schriftlichem Fragebogen prüfen oder vor Ort mit einer Ankündigungsfrist von 30 Tagen, höchstens einmal jährlich, sofern nicht eine Verletzung oder eine Behörde mehr verlangt. Jede Partei trägt ihre eigenen Kosten.

12. Haftung und Schlussbestimmungen

Die Haftung richtet sich nach den Nutzungsbedingungen; die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt. Widerspricht dieser AVV den Nutzungsbedingungen beim Schutz personenbezogener Daten, geht dieser AVV vor.

Anlage 1 – Technische und organisatorische Maßnahmen

Standort und Hosting

• Datenbank (MongoDB Atlas) und Dateispeicher (AWS S3) in Frankfurt, Deutschland; Serverfunktionen in Frankfurt.
• Die physische Sicherheit der Rechenzentren gewährleisten die Hosting-Anbieter im Rahmen ihrer eigenen Zertifizierungen.

Zugangs- und Zugriffskontrolle

• Anmeldung über Clerk; Requify speichert keine Passwörter.
• Jede Anfrage wird auf dem Server gegen Organisation und Rolle des Nutzers geprüft; Organisationen können die Daten anderer Organisationen nicht sehen (durch automatisierte Tests abgedeckt).
• Organisationsrollen (Inhaber, Admin, Projektmanager, Bearbeiter, Betrachter) sowie Projektrollen und Zuweisungen je Abschnitt begrenzen, wer was lesen und ändern darf.
• Prüf-Workflow: freigegebene oder in Prüfung befindliche Abschnitte sind vor Änderungen durch andere Nutzer geschützt.
• API-Schlüssel für Integrationen werden gehasht gespeichert und können widerrufen werden.

Übertragung und Speicherung

• Ausschließlich HTTPS, erzwungen durch HTTP Strict Transport Security.
• Sicherheits-Header gegen Einbettung und das Einschleusen von Inhalten (Content-Security-Policy, X-Frame-Options, X-Content-Type-Options).
• Freigabelinks für Reviews verwenden zufällige Token, können ablaufen oder abgeschaltet werden und sind von Suchmaschinen ausgeschlossen.

Eingabekontrolle und Integrität

• Audit-Protokoll wichtiger Aktionen (zum Beispiel Anlegen, Ändern und Löschen von Projekten, Rollenänderungen).
• Versionshistorie und Baselines von Dokumenten; gelöschte Seiten kommen zunächst in einen Papierkorb.

Verfügbarkeit

• Zustandsprüfungen von Datenbank, E-Mail, Warteschlange und KI-Anbietern alle 5 Minuten, mit Alarmen an den Betreiber.
• Anfragebegrenzungen (Rate Limits) an sensiblen Endpunkten.
• Verfügbarkeitszusage für kostenpflichtige Tarife im Service Level Agreement.

Datenminimierung und Trennung

• KI-Funktionen senden nur den vom Nutzer übermittelten Text und den zugehörigen Projektkontext.
• Wahl der KI-Region je Arbeitsbereich; die EU-Region greift nie auf Anbieter außerhalb der EU zurück.
• Datenexport und Kontolöschung stehen Nutzern im Dienst zur Verfügung.

Organisation

• Unterauftragsverarbeiter sind durch Auftragsverarbeitungsverträge gebunden (Anlage 2).
• Die Anwendung hat eine automatisierte Testsuite, die vor der Veröffentlichung von Änderungen ausgeführt wird.

Anlage 2 – Unterauftragsverarbeiter