Dieser Auftragsverarbeitungsvertrag („AVV“) konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien nach Art. 28 DSGVO im Rahmen der Nutzung des Dienstes Claimscan. Er gilt als Bestandteil des Hauptvertrages („Hauptvertrag“, d. h. die Nutzungsbedingungen unter /agb).
Ein druckfähiges Exemplar dieser Vereinbarung erhältst du jederzeit über die Druckfunktion deines Browsers („Datei → Drucken → Als PDF speichern“). Eine signierte Gegenzeichnung auf Wunsch an security@claimscan.io.
1. Parteien
Auftragsverarbeiter(nachfolgend „Claimscan“): Piyal Ranasinghe, Querstraße 6, 90489 Nürnberg, Deutschland. USt-IdNr.: DE343759653.
Verantwortlicher(nachfolgend „Kunde“): Die juristische oder natürliche Person, die den Claimscan-Dienst unter ihrem Account nutzt. Die Identifikation erfolgt über die im Account hinterlegten Firmendaten.
2. Gegenstand und Dauer
Claimscan verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Kunden zum Zweck der forensischen Analyse von Bildmaterial (Metadaten, Pixelforensik, optionale KI-Detektion) sowie der Bereitstellung von Fall-, Report- und Integrationsfunktionen im Umfang des gebuchten Plans. Die Verarbeitung beginnt mit Abschluss des Hauptvertrages und endet mit dessen Beendigung.
3. Art, Umfang und Zweck der Verarbeitung
- Arten der Daten:hochgeladene Bilder einschließlich darin enthaltener EXIF-/Metadaten (z. B. Gerät, Zeitstempel, GPS-Koordinaten, Software-Signaturen), optional vom Kunden hinterlegte Fall-Kontextdaten (Bestell-Referenz, Produkt-SKU, Schadensbeschreibung, Versandadresse).
- Kategorien betroffener Personen:Endkunden des Kunden (z. B. Käufer:innen in E-Commerce-Retouren), Mitarbeiter:innen des Kunden (Upload-Operator:innen), ggf. auf den Bildern abgebildete Dritte.
- Zweck: Erkennung von manipulierten oder KI-generierten Bildern in Retouren- und Reklamationsvorgängen; Bereitstellung forensischer Reports, Marketplace-Texte und API-/Webhook-Signale.
- Verarbeitungsorte:Hauptverarbeitung in Deutschland (Hetzner Online GmbH, Nürnberg). Optionale KI-Stufen siehe § 8.
4. Weisungsrecht des Verantwortlichen
Claimscan verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden. Der Hauptvertrag samt dieser AVV stellt die Grundweisung dar. Zusätzliche Weisungen sind in Textform an security@claimscan.io zu richten. Ist Claimscan der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, wird Claimscan den Kunden unverzüglich darauf hinweisen und die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.
5. Technische und organisatorische Maßnahmen (TOM)
Claimscan verpflichtet sich, angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO umzusetzen. Dazu zählen insbesondere:
- Zutrittskontrolle: Hetzner-Rechenzentrum in Deutschland mit zertifizierter Rechenzentrums-Sicherheit nach anerkannten Standards; Zutritt nur für autorisiertes Personal.
- Zugangskontrolle: SSH-Key-only (Passwort-Auth deaktiviert), UFW-Firewall, Fail2ban/CrowdSec, MFA für Admin-Konten.
- Zugriffskontrolle: Tenant-Isolation auf DB-Ebene (jede Query enthält
tenant_id), Argon2id-Passwort-Hashing, JWT mit HMAC-Signatur. - Weitergabekontrolle:TLS 1.2+ in Transit (Let's Encrypt Zertifikate), verschlüsselte Block-Devices at rest, keine unverschlüsselte Speicherung personenbezogener Daten.
- Eingabekontrolle: Audit-Log für Public-API-Zugriffe (ULID-TraceIDs), Webhook-Delivery-Log, PM2- und Nginx-Access-Logs.
- Verfügbarkeitskontrolle:Tägliche automatisierte Backups (30 Tage Aufbewahrung), Uptime-Monitoring, Incident-Mail-Alert.
- Trennungskontrolle: Logische Mandantentrennung in Postgres und MinIO, separate S3-Präfixe pro Tenant.
- Pseudonymisierung: Nach Ablauf der Aufbewahrungsfrist werden Bilddateien gelöscht; es verbleibt ein perzeptueller Hash (nicht-rekonstruierbar) für Duplikat-Erkennung.
Änderungen der TOM werden dokumentiert. Das aktuelle TOM-Verzeichnis ist auf Anfrage erhältlich.
6. Aufbewahrung und Löschung
Die plan-abhängige Bild-Aufbewahrung (30 / 90 / 180 / 365 Tage) wird durch einen täglichen Retention-Job automatisch durchgesetzt. Nach Ablauf der Aufbewahrungsfrist wird das Bild aus dem Object Storage gelöscht. Forensische Analyseergebnisse (Findings, Scores) sowie der perzeptuelle Hash verbleiben in pseudonymisierter Form ohne Möglichkeit, die ursprünglichen Bilddateien zu rekonstruieren. Diese Daten dienen der Erkennung wiederverwendeter Betrugsbilder (siehe Datenschutzerklärung Abschnitt 3a) sowie der internen Qualitätssicherung der Erkennungsalgorithmen. Nach Beendigung des Hauptvertrages wählt der Kunde: (a) vollständige Löschung aller personenbezogenen Daten binnen 30 Tagen oder (b) Rückgabe per Export (JSON + PDFs). Die Standardwahl bei fehlender Rückmeldung ist Löschung.
7. Unterstützung des Kunden
Claimscan unterstützt den Kunden bei der Einhaltung der Pflichten nach Art. 32 – 36 DSGVO durch:
- Bereitstellung von Auskünften über die Verarbeitung (Art. 15) und Export der personenbezogenen Daten auf Kundenwunsch (Art. 20);
- Unverzügliche Meldung einer Verletzung des Schutzes personenbezogener Daten (Data Breach) spätestens binnen 72 Stunden nach Kenntnis per E-Mail an die im Account hinterlegte Adresse;
- Unterstützung bei Datenschutz-Folgenabschätzungen (Art. 35) auf schriftliche Anfrage gegen angemessene Aufwandsentschädigung, sofern der Aufwand über die üblichen Supportpflichten hinausgeht.
8. Unterauftragsverarbeiter
Der Kunde erteilt Claimscan die allgemeine Genehmigung zum Einsatz folgender Unterauftragsverarbeiter:
| Unterauftragsverarbeiter | Sitz | Zweck |
|---|---|---|
| Hetzner Online GmbH | Deutschland | Server-Hosting, Datenbank, Object Storage |
| Vercel Inc. | USA (DPF + SCC) | Frontend-Hosting |
| Anthropic PBC | USA (SCC) | Optionale Vision-KI (Pipeline-Stufe 6, ca. 15 % der Analysen; deaktivierbar im Account) |
| All-Inkl.com (Neue Medien Münnich) | Deutschland | Transaktionaler E-Mail-Versand |
Änderungen oder Ergänzungen des Unterauftragsverarbeiter-Verzeichnisses werden dem Kunden mindestens 30 Tage im Voraus per E-Mail mitgeteilt. Der Kunde kann aus wichtigem Grund widersprechen; führt der Widerspruch dazu, dass Claimscan den Dienst nicht mehr vertrags-gemäß erbringen kann, steht beiden Parteien ein außerordentliches Kündigungsrecht zu.
9. Drittlandübermittlung
Übermittlungen an Anthropic PBC und Vercel Inc. (USA) erfolgen auf Grundlage der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) sowie — soweit zertifiziert — des EU-US Data Privacy Framework. Der Kunde kann die optionale KI-Stufe deaktivieren; in diesem Fall verbleiben Bildinhalte ausschließlich in Deutschland.
10. Betroffenenrechte
Claimscan unterstützt den Kunden bei der Bearbeitung von Anfragen betroffener Personen. Wendet sich eine betroffene Person direkt an Claimscan, leiten wir die Anfrage unverzüglich an den Kunden weiter, sofern die Zuordnung zum Kundenaccount eindeutig ist.
11. Nachweis und Audit
Claimscan stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO genannten Pflichten zur Verfügung. Der Kunde kann die Einhaltung nach vorheriger Terminabstimmung und unter Wahrung der Betriebsabläufe von Claimscan überprüfen — entweder durch eigene Inspektion oder durch einen beauftragten unabhängigen Prüfer (NDA erforderlich). Die Kosten trägt der Kunde; bei festgestellten Verstößen trägt Claimscan die angemessenen Prüfungskosten.
12. Haftung
Die Haftungsregelungen des Hauptvertrages gelten entsprechend für diese Vereinbarung. Art. 82 DSGVO bleibt unberührt.
13. Schlussbestimmungen
Diese AVV tritt mit Abschluss des Hauptvertrages in Kraft und endet mit dessen Beendigung. Sollten einzelne Bestimmungen unwirksam sein, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Gerichtsstand ist Nürnberg, soweit der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist. Anwendbares Recht: deutsches Recht unter Ausschluss des UN-Kaufrechts.