Datenverarbeitungsvereinbarung (DPA)
Effective date:
Diese Datenverarbeitungsvereinbarung (DPA) wird gemäß Artikel 28 der Verordnung (EU) 2016/679 (GDPR) als Datenschutz-Zusatzvereinbarung zu Ihrem Vertrag mit PDFLean geschlossen: Sie als Verantwortlicher bestimmen die Zwecke und Mittel der Verarbeitung; PDFLean als Auftragsverarbeiter führt die Cloud-Verarbeitung ausschließlich auf Ihre dokumentierten Anweisungen aus und verwendet Kundendaten niemals für eigenes Marketing, Profiling oder Modelltraining. Bei der Verwendung browser-lokaler WASM-Tools verlassen Dateien Ihr Gerät nicht, und es entsteht keine Verarbeitungsdelegation nach dieser DPA.
1. Geltungsbereich & Vorrang der Vereinbarung
Dieses DPA gilt für die Verarbeitung personenbezogener Daten, die durch oder im Namen des Kunden über PDFLean Cloud-Computing-Dienste übermittelt oder generiert werden. Lokale Browser-Tools, die clientseitig in WebAssembly arbeiten, ohne Dateien an die PDFLean-Infrastruktur zu übertragen, begründen kein Auftragsverarbeitungsverhältnis; für sie gilt diese DPA nicht. Im Falle eines Konflikts zwischen diesem DPA und den allgemeinen Nutzungsbedingungen hat dieses DPA in Bezug auf Datenschutz und Datensicherheit Vorrang.
2. Rollen des Verantwortlichen & Auftragsverarbeiters
Im Sinne des geltenden Datenschutzrechts agiert der Kunde als Verantwortlicher (Data Controller) und PDFLean als Auftragsverarbeiter (Data Processor). PDFLean verarbeitet Kundendokumente ausschließlich auf dokumentierte Anweisungen des Verantwortlichen (initiiert über interaktive Web-Befehle wie Zusammenführen, Aufteilen, OCR oder Konvertierung) und verarbeitet personenbezogene Daten niemals für eigene Marketing-, Profiling- oder Machine-Learning-Trainingszwecke.
3. Gesetzliche Pflichten des Auftragsverarbeiters
PDFLean verpflichtet sich, die folgenden gesetzlichen Pflichten gemäß GDPR Art. 28 einzuhalten:
- Dokumentierte Anweisungen & Datenminimierung: Daten ausschließlich gemäß den Vorgaben des Kunden verarbeiten, temporäre Dokumente nur für den technischen Lebenszyklus aufbewahren, der zum Abschluss der Verarbeitung erforderlich ist (automatische Löschung nach Abschluss oder Ablauf), und den Kunden benachrichtigen, wenn eine Anweisung gegen geltende Datenschutzbestimmungen zu verstoßen scheint.
- Vertraulichkeit des Personals: Sicherstellen, dass alle Mitarbeiter, die zur Bearbeitung von Infrastruktur- oder Kundensupport-Tickets befugt sind, einer strengen vertraglichen Vertraulichkeit unterliegen.
- Meldung von Vorfällen: Im Falle eines bestätigten Sicherheitsvorfalls im Zusammenhang mit personenbezogenen Daten die betroffenen Verantwortlichen innerhalb von 72 Stunden mit umfassenden technischen Risikobewertungen benachrichtigen.
- Unterstützung & Rechte betroffener Personen: Verantwortliche bei der Erfüllung ihrer Pflichten unterstützen, auf betroffene Personen zu reagieren, die ihre gesetzlichen Rechte (Auskunft, Löschung, Berichtigung) ausüben.
4. Autorisierte Infrastruktur-Unterauftragsverarbeiter
Zertifizierungen von Unterauftragsverarbeitern sind diejenigen, die von jedem Anbieter öffentlich bekannt gegeben werden (z. B. Cloudflare, Stripe). PDFLean selbst erhebt keinen Anspruch auf eine SOC 2 / ISO 27001 Zertifizierung:
| Unterauftragsverarbeiter | Dienstfunktion | Standort | Compliance-Standard |
|---|---|---|---|
| Cloudflare, Inc. | Edge Computing, DDoS-Abwehr & R2 verschlüsselter Speicher | EU & US Edge Nodes | SOC 2 Type II, ISO 27001 |
| Stripe, Inc. | Zahlungs-Gateway & konforme VAT-Rechnungsstellung | Globale Tier 1 Hubs | PCI-DSS Level 1 |
| Resend, Inc. | Transaktionaler System-E-Mail-Versand | US / EU Kanäle | SOC 2 Type II |
| DeepSeek | Optionale KI-Zusammenfassung / -Übersetzung (nur serverseitiger Proxy) | China (Festland) — grenzüberschreitende Übermittlung | Modellgewichte unter MIT; wird nur aufgerufen, wenn KI-Funktionen angefordert werden; Übermittlung unter SCCs / Ihren Anweisungen |
5. Technische & organisatorische Maßnahmen (TOMs)
Wir setzen Defense-in-Depth-Maßnahmen ein: TLS 1.3-Verschlüsselung bei der Übertragung; AES-256-Verschlüsselung im Ruhezustand; keine dauerhafte Speicherung von Kundendokumenten (automatische Löschung nach Ablauf); und Zugriffssteuerung nach dem Least-Privilege-Prinzip.
6. DPA-Ausführung & rechtlicher Kontakt
Unternehmen und juristische Teams, die ein formal gegengezeichnetes DPA mit Standardvertragsklauseln (SCCs) benötigen, können das Ausführungspaket über unsere Legal-Compliance-Stelle anfordern: support@pdflean.com; unser Rechtsteam stellt das Ausführungspaket innerhalb eines Werktags bereit.