Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand & Rollen

Der Kunde ist Verantwortlicher, mendway ist Auftragsverarbeiter. Gegenstand ist das Einholen von Compliance-Nachweisen bei den vom Kunden benannten Geschäftspartnern (insbesondere Lieferanten) und deren Dokumentation in einem append-only geführten Protokoll der Nachweisereignisse (Audit-Trail; Einreichungen und Dokumente zusätzlich mit kryptografischen Prüfsummen, Anfrage-Exporte mit Inhalts-Siegel, das nachträgliche Veränderungen des exportierten Bestands erkennbar macht). Der Kunde entscheidet über Zweck und Mittel der Verarbeitung und bleibt für die Rechtmäßigkeit seiner Anfrage verantwortlich.

2. Art, Zweck & Dauer der Verarbeitung

Verarbeitet werden Kontakt-, Firmen-, Produkt-, Verpackungs-, Compliance-, Konformitäts-, Signatur-, Audit- und technische Begleitdaten sowie hochgeladene Dokumente der vom Kunden benannten Personen und Organisationen. Zweck ist ausschließlich die Erstellung, Zustellung, Bearbeitung, Speicherung, Erinnerung, Wiedervorlage und Dokumentation der vom Kunden beauftragten Nachweisprozesse. Die Dauer richtet sich nach dem Vertragsverhältnis, den konfigurierten Nachweisfristen und den Weisungen des Kunden.

Kategorien betroffener Personen sind insbesondere: Ansprechpartner, Beschäftigte und Unterzeichner der vom Kunden benannten Geschäftspartner (z. B. Lieferanten), Ansprechpartner von Vorlieferanten bei einer Weiterleitung der Anfrage in der Lieferkette, Nutzer und Ansprechpartner des Kunden sowie sonstige Personen, deren Daten in den angeforderten Nachweisen enthalten sind.

3. Weisungsbindung und Zweckbindung

mendway verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden; das gilt auch für eine etwaige Übermittlung in ein Drittland oder an eine internationale Organisation, sofern mendway nicht durch Unionsrecht oder das Recht eines Mitgliedstaats dazu verpflichtet ist — in diesem Fall informiert mendway den Kunden vor der Verarbeitung über diese Anforderung, soweit das Recht eine Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO). Daten aus Nachweisprozessen werden nicht für eigene Werbung, nicht für Verkauf an Dritte und nicht zum Training von KI-Modellen genutzt. Weisungen können im Vertrag, in der Plattform, per Textform oder über vereinbarte Support- und Administrationswege erteilt werden.

mendway informiert den Kunden unverzüglich, wenn eine Weisung nach Auffassung von mendway gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt (Art. 28 Abs. 3 Unterabs. 2 DSGVO). mendway ist berechtigt, die Ausführung einer solchen Weisung auszusetzen, bis der Kunde sie bestätigt oder ändert.

Zwei eng begrenzte Ausnahmen von der Zweckbindung gelten jeweils nur auf eigene, ausdrückliche Einwilligung des Lieferanten: der optionale mendway-Pass (der Lieferant speichert eine Kopie seines Nachweises zur eigenen Wiederverwendung) und das optionale Gültigkeits-Sharing (eine Zertifikats-Erneuerung des Lieferanten wird automatisch an alle Kunden weitergegeben, die denselben Nachweis über mendway erhalten haben). Für diese Verarbeitungen ist ad fontes Holding GmbH selbst Verantwortlicher (Art. 6 Abs. 1 lit. a DSGVO); die Verarbeitung im Auftrag des Kunden bleibt davon unberührt. Einzelheiten regelt der Datenschutzhinweis für Lieferanten (Abschnitt 6).

4. Subprozessoren

Der Kunde erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) für den Einsatz von Subprozessoren. Derzeit werden die folgenden Subprozessoren eingesetzt:

mendway erlegt jedem Subprozessor im Wege eines Vertrags dieselben Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Subprozessor seinen Datenschutzpflichten nicht nach, haftet mendway gegenüber dem Kunden für die Einhaltung dieser Pflichten wie für eigenes Handeln.

Die beabsichtigte Hinzuziehung oder Ersetzung eines Subprozessors teilt mendway dem Kunden mindestens 30 Tage vor dem Wirksamwerden in Textform mit (E-Mail an die registrierten Nutzer des Kunden mit Inhaber-Rolle). Der Kunde kann der Änderung innerhalb von 30 Tagen nach Zugang der Mitteilung aus datenschutzrechtlichen Gründen widersprechen (Art. 28 Abs. 2 Satz 2 DSGVO). Kommt keine einvernehmliche Lösung zustande, kann der Kunde den betroffenen Leistungsteil außerordentlich kündigen; bereits erhobene Daten werden nach Ziffer 7 zurückgegeben oder gelöscht. Anschrift und Kontakt der eingesetzten Subprozessoren stellt mendway auf Anfrage bereit.

5. Technisch-organisatorische Maßnahmen (TOMs)

mendway betreibt die Plattform in der EU-Region Frankfurt (Vercel und Supabase; US-Anbieter, Übermittlung über EU-Standardvertragsklauseln abgesichert), speichert Nachweisdokumente in einem privaten Objektspeicher ohne öffentlichen Abrufweg und liefert sie ausschließlich über die Anwendung aus, trennt Mandanten über Row-Level-Security und schützt Zugänge über ablaufende, gehashte Tokens. Weitere Maßnahmen umfassen TLS-Transportverschlüsselung, rollen- und mandantenbezogene Zugriffsbeschränkungen, Protokollierung relevanter Nachweisereignisse, private Buckets, serverseitige Validierung von Uploads, Sicherheitsupdates und Wiederherstellungsmaßnahmen auf Infrastruktur- und Datenbankebene. Uploads durchlaufen Typ-, Größen- und Strukturprüfungen; eine inhaltliche Malware- oder Virenprüfung der Dateiinhalte findet nicht statt.

Die in dieser Ziffer beschriebenen Maßnahmen sind verbindlicher Bestandteil dieses Vertrags. mendway darf sie fortentwickeln, soweit das vereinbarte Schutzniveau dabei nicht unterschritten wird. Auf Anfrage stellt mendway dem Kunden eine gesonderte, detaillierte TOM-Beschreibung bereit; wird sie übermittelt, ist sie in der übermittelten Fassung Bestandteil dieses Vertrags.

6. Drittlandtransfer

Die Verarbeitung erfolgt in der EU. Soweit ein Subprozessor einem Drittlandbezug unterliegt, insbesondere Cloudflare als US-Unternehmen, wird der Einsatz auf geeignete Garantien wie EU-Standardvertragsklauseln, zusätzliche Schutzmaßnahmen und die jeweilige Produktkonfiguration gestützt.

7. Meldungen, Unterstützung, Löschung und Kontrollrechte

mendway meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntniserlangung (Art. 33 Abs. 2 DSGVO) und stellt dabei die Informationen nach Art. 33 Abs. 3 DSGVO bereit, soweit sie verfügbar sind; Nachmeldungen erfolgen, sobald weitere Informationen vorliegen.

mendway unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO) sowie — unter Berücksichtigung der mendway zur Verfügung stehenden Informationen — bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, einschließlich Datenschutz-Folgenabschätzungen und vorheriger Konsultationen (Art. 28 Abs. 3 lit. f DSGVO).

Nach Abschluss der Verarbeitung werden Daten nach Wahl des Kunden gelöscht oder zurückgegeben und vorhandene Kopien gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (Art. 28 Abs. 3 lit. g DSGVO).

mendway stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht und unterstützt Überprüfungen — einschließlich Inspektionen —, die vom Kunden oder einem von ihm beauftragten Prüfer durchgeführt werden (Art. 28 Abs. 3 lit. h DSGVO). Kontrollen erfolgen nach angemessener Vorankündigung, zu üblichen Geschäftszeiten sowie unter Wahrung der Vertraulichkeit und der Sicherheit anderer Kunden; vorhandene Nachweise (z. B. Audit-Trail-Exporte, TOM-Dokumentation, Prüfberichte) und Remote-Prüfungen werden vorrangig genutzt.

8. Vertraulichkeit und Personal

Personen, die bei mendway Zugriff auf personenbezogene Daten erhalten, werden zur Vertraulichkeit verpflichtet und nur eingesetzt, soweit ihr Zugriff für Betrieb, Support, Sicherheit oder Vertragsdurchführung erforderlich ist.

9. Pflichten und Rechte des Kunden

Der Kunde stellt sicher, dass für die von ihm angelegten Anfragen eine tragfähige Rechtsgrundlage besteht, die betroffenen Personen erforderliche Informationen erhalten und keine Daten eingestellt werden, die für den jeweiligen Nachweiszweck nicht erforderlich sind. Der Kunde prüft die fachliche und rechtliche Verwendbarkeit der erhaltenen Nachweise selbst; mendway dokumentiert die Einreichung, nimmt aber keine inhaltliche Rechts-, Zertifizierungs- oder Richtigkeitsprüfung vor.

Anlage — Technische und organisatorische Maßnahmen (TOM), Fassung 1.5 vom 2026-08-06, SHA-256: aa4c19ddca329d7f8bf39762fcb17e572cc01504c08aca3ab29d24dc2f7c6e46

Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Anlage zum AVV). Jeder Punkt spiegelt den implementierten Stand wider.

1. Mandantentrennung per Row-Level Security
   Jede Datenzeile ist über die Organisations-ID abgesichert; die Anwendung verbindet ausschließlich als RLS-gebundene Datenbankrolle. Eine Organisation sieht nur ihre eigenen Daten.
2. Private Dokumentenspeicherung ohne öffentlichen Abrufweg
   Nachweisdokumente liegen in einem privaten Objektspeicher in der EU-Region Frankfurt. Es gibt keinen öffentlichen Abrufweg: Die Anwendung liest die Bytes selbst, prüft sie gegen die bei der Abgabe eingefrorene Prüfsumme und liefert sie aus. Eine signierte Speicher-URL verlässt den Server nicht.
3. Login-freie, gehashte Lieferanten-Token
   Lieferanten erhalten kein Konto, sondern einen hochentropen Token mit Bezug auf genau eine Anfrage. In der Datenbank steht nur dessen HMAC-SHA256-Hash; der Token läuft ab und ist widerrufbar.
4. Prüfung hochgeladener Dateien
   Uploads durchlaufen eine Typ- und Größen-Whitelist sowie eine Inhaltsprüfung (u. a. Makro-Erkennung in Office-Dateien und Schutz vor Zip-Bomben), bevor sie gespeichert werden; eine Malware-/Virenprüfung der Dateiinhalte findet nicht statt.
5. Append-only-Audit-Trail mit Export-Siegel
   Sicherheits- und Nachweisereignisse werden append-only protokolliert; bereits abgeschlossene Ereignisse werden durch die Anwendung nachträglich weder geändert noch gelöscht (eine Anreicherung erfolgt nur innerhalb derselben Abgabe-Transaktion); Anfrage-Exporte tragen ein kryptografisches Inhalts-Siegel, das eine nachträgliche Veränderung des exportierten Bestands erkennbar macht.
6. Anmeldung ohne Passwörter
   Kundenkonten melden sich per Magic-Link an — es werden keine Passwörter gespeichert. Sitzungen sind über Secure-Cookies geschützt.
7. Verarbeitung in der EU und Transportverschlüsselung
   Anwendung, Datenbank und Dateispeicher werden in der EU-Region Frankfurt betrieben; die Datenübertragung erfolgt ausschließlich TLS-verschlüsselt. Die eingesetzten Anbieter sind US-Unternehmen; die Übermittlung ist über EU-Standardvertragsklauseln abgesichert (siehe Sub-Prozessoren).
8. Serverseitige Rechtetrennung
   Administrative bzw. Service-Datenbankzugriffe sind nur serverseitig erreichbar und nie aus dem Browser-Code.
9. KI-Verarbeitung nur in der EU, ohne Trainingsnutzung
   Die optionale Dokumenten-Vorprüfung verarbeitet Uploads ausschließlich in EU-Regionen des AWS-Bedrock-EU-Inferenzprofils (Quellregion Frankfurt); Inhalte werden nicht zum Training von KI-Modellen verwendet. Ergebnis sind rein formale Hinweise — die Entscheidung trifft immer der Anforderer.