gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)
Auftraggeber (Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO):
Der jeweilige Nutzer von SmartFill PDF – natürliche oder juristische Person –, der sich registriert und die Software zur Verarbeitung von PDF-Dokumenten nutzt.
Auftragnehmer (Auftragsverarbeiter i.S.d. Art. 4 Nr. 8 DSGVO):
Matthias Hansen
Abendrothsweg 26
20251 Hamburg
(1) Gegenstand: Dieser AVV regelt die Auftragsverarbeitung im Rahmen der Nutzung der SaaS-Anwendung SmartFill PDF (smartfillpdf.com). Der Auftragnehmer verarbeitet dabei personenbezogene Daten, die in den vom Auftraggeber hochgeladenen PDF-Dokumenten enthalten sein können, ausschließlich im Auftrag und nach den Weisungen des Auftraggebers.
(2) Dauer: Dieser AVV gilt für die gesamte Dauer des Nutzungsverhältnisses zwischen Auftraggeber und Auftragnehmer. Er endet mit Beendigung des Nutzungsvertrags, unbeschadet der Regelungen zur Datenlöschung gemäß Ziffer 10.
(1) Art und Zweck der Verarbeitung:
(2) Art der Daten: Die verarbeiteten Daten umfassen sämtliche Inhalte, die in den hochgeladenen PDF-Dokumenten und Befülldatensätzen enthalten sind. Dies können insbesondere sein:
(3) Kategorien betroffener Personen: Dritte natürliche Personen, deren Daten in den vom Auftraggeber hochgeladenen Dokumenten oder Befülldatensätzen enthalten sind (z.B. Kunden, Mitarbeiter, Patienten des Auftraggebers).
(1) Der Auftraggeber ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO für die in den Dokumenten enthaltenen personenbezogenen Daten. Der Auftragnehmer verarbeitet diese ausschließlich als Auftragsverarbeiter auf dokumentierte Weisung des Auftraggebers.
(2) Weisungen des Auftraggebers sind in diesem AVV und in den Nutzungsbedingungen grundsätzlich abschließend festgelegt. Die Nutzungshandlungen des Auftraggebers (z.B. Hochladen eines Dokuments, Auslösen der Formularausfüllung) gelten als dokumentierte Einzelweisungen.
(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen und die Durchführung bis zur Klärung auszusetzen.
(1) Der Auftragnehmer gewährleistet, dass alle zur Ausführung des Auftrags eingesetzten Personen zur Vertraulichkeit verpflichtet sind und nur auf die für ihre Tätigkeit erforderlichen Daten Zugriff erhalten.
(2) Die Vertraulichkeitspflicht besteht über die Dauer dieses Vertrags hinaus fort.
Der Auftragnehmer trifft folgende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein angemessenes Schutzniveau zu gewährleisten:
(1) Eingesetzte Unterauftragnehmer: Der Auftragnehmer setzt folgende Unterauftragnehmer ein, denen gegenüber gleichwertige Datenschutzverpflichtungen bestehen:
Supabase Inc.
970 Toa Payoh North #07-04, Singapore 319000
Zweck: Datenbankinfrastruktur, Authentifizierung, Dateispeicherung
Speicherort: AWS Frankfurt, Deutschland (EU)
Rechtsgrundlage Drittlandtransfer: EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO, vereinbart im Data Processing Addendum (DPA) zwischen dem Auftragnehmer und Supabase Inc., unterzeichnet am 14.05.2026 (Dok.-Ref. Z5NRA-CQ3UO-VXGKJ-CNHF7). Das DPA wird auf Anfrage vorgelegt.
Google Ireland Limited (Google Gemini API)
Gordon House, Barrow Street, Dublin 4, Irland
Zweck: KI-gestützte Analyse von Dokumenteninhalten – ausschließlich bei expliziter Nutzung der „Magic Wand"-Funktion durch den Auftraggeber
Rechtsgrundlage: Standardvertragsklauseln der EU (SCC) gem. Art. 46 Abs. 2 lit. c DSGVO
IONOS SE
Elgendorfer Str. 57, 56410 Montabaur, Deutschland
Zweck: Hosting des Frontends (statische Website)
Speicherort: Deutschland (EU)
OpenAI Ireland Ltd. (OpenAI API)
1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland
Zweck: KI-Extraktion — Auslesen der vom Nutzer bereitgestellten Quelldokumente und Zuordnen der Inhalte zu Formularfeldern. Die Übermittlung erfolgt ausschließlich, wenn der Nutzer die KI-Funktion aktiv auslöst; eine automatische Übermittlung findet nicht statt.
Speicherort/Verarbeitung: Verarbeitung auch in den USA (verbundene Unternehmen, insb. OpenAI OpCo, LLC)
Rechtsgrundlage Drittlandtransfer: EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO, vereinbart im Data Processing Addendum (DPA) mit OpenAI Ireland Ltd., unterzeichnet am 13.07.2026 (DocuSign-Ref. 6929ABA3-D101-812F-8012-B084F12B374A). Das DPA wird auf Anfrage vorgelegt.
Wichtig: OpenAI verwendet über die API übermittelte Daten nicht zum Training von KI-Modellen; Aufbewahrung nur zur Missbrauchskontrolle (max. 30 Tage).
(2) Zustimmung: Der Auftraggeber erklärt sich durch Zustimmung zu diesem AVV mit dem Einsatz der in Absatz 1 genannten Unterauftragnehmer einverstanden.
(3) Information und Widerspruchsrecht bei Wechsel:
a) Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragnehmer hinzuzuziehen oder einen bestehenden auszutauschen, informiert er den Auftraggeber mindestens 30 Kalendertage vor der geplanten Änderung in Textform (z.B. per E-Mail).
b) Der Auftraggeber kann der geplanten Änderung innerhalb von 14 Kalendertagen nach Zugang in Textform widersprechen. Der Widerspruch ist auf datenschutzrechtliche Gründe zu stützen.
c) Lässt sich ein begründeter Widerspruch nicht innerhalb von 30 Kalendertagen ausräumen, ist der Auftraggeber berechtigt, den Nutzungsvertrag außerordentlich zu kündigen. Bereits gezahlte Vergütungen werden anteilig erstattet.
d) Erfolgt innerhalb der Frist nach Buchstabe b kein Widerspruch, gilt die Zustimmung als erteilt.
Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung von Anfragen betroffener Personen (Art. 15–22 DSGVO), soweit diese die im Rahmen dieses AVV verarbeiteten Daten betreffen, insbesondere:
Der Auftraggeber kann jederzeit alle seine gespeicherten Vorlagen und Daten über die App-Einstellungen einsehen und löschen. Die Kontoeigenlöschung ist ebenfalls jederzeit möglich.
Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Daten des Auftraggebers betrifft. Die Meldung erfolgt per E-Mail an die bei der Registrierung hinterlegte Adresse oder über die in der App zugänglichen Kontaktdaten.
Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten gegenüber der zuständigen Aufsichtsbehörde (Art. 33 DSGVO) und gegenüber betroffenen Personen (Art. 34 DSGVO).
(1) Der Auftraggeber kann seine Daten (Vorlagen, Ausgabedokumente) jederzeit aus der Anwendung herunterladen und selbst löschen.
(2) Nach Beendigung des Nutzungsvertrags (Kontolöschung) werden alle vom Auftraggeber gespeicherten Inhaltsdaten gelöscht. Eine Löschung erfolgt spätestens 30 Tage nach Vertragsbeendigung.
(3) Im Gast-Modus (ohne Registrierung) werden hochgeladene Dokumente ausschließlich für die Dauer der aktiven Browser-Sitzung im Arbeitsspeicher gehalten und nicht persistent gespeichert.
(1) Nachweisverfahren (erste Stufe): Der Auftragnehmer stellt dem Auftraggeber auf Anfrage in folgender Reihenfolge Nachweise zur Verfügung:
(2) Vor-Ort-Kontrolle (zweite Stufe): Soweit die Unterlagen nach Absatz 1 nicht ausreichen, ist der Auftraggeber berechtigt, eine Vor-Ort-Kontrolle durchzuführen oder durch einen beauftragten Dritten durchführen zu lassen. Dabei gelten folgende Modalitäten:
Ankündigung: Schriftlich, mindestens 30 Werktage Vorlaufzeit.
Frequenz: Höchstens einmal pro Kalenderjahr (zusätzlich bei begründetem Anlass möglich).
Zeit: Werktags zu üblichen Geschäftszeiten (Mo–Fr, 9–17 Uhr), nach vorheriger Terminabstimmung.
Anforderungen: Der Auditor darf kein unmittelbarer Wettbewerber sein und ist zur Vertraulichkeit zu verpflichten.
Kosten: Trägt der Auftraggeber, einschließlich angemessener Aufwandsentschädigung. Bei erheblichen Pflichtverletzungen des Auftragnehmers trägt dieser seine eigenen Kosten.
(3) Anfragen sind per E-Mail an die in Ziffer 1 genannte Adresse zu richten.
(1) Außenverhältnis: Im Verhältnis zu betroffenen Personen haften die Parteien nach Maßgabe des Art. 82 DSGVO.
(2) Innenausgleich: Soweit eine Partei nach Art. 82 DSGVO gegenüber einer betroffenen Person mehr leistet, als ihrem Verschuldensanteil entspricht, kann sie von der anderen Partei einen entsprechenden Innenausgleich nach Art. 82 Abs. 5 DSGVO verlangen.
(3) Innenverhältnis:
a) Bei Vorsatz und grober Fahrlässigkeit sowie bei Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit haftet der Auftragnehmer unbegrenzt.
b) Bei einfacher Fahrlässigkeit haftet der Auftragnehmer nur bei Verletzung einer wesentlichen Vertragspflicht (Kardinalpflicht). Die Haftung ist begrenzt auf den niedrigeren der folgenden Beträge: die in den letzten 12 Monaten tatsächlich gezahlten Nettoentgelte, oder 5.000 EUR je Schadensfall / 15.000 EUR je Vertragsjahr.
c) Für unentgeltliche Nutzung (Gast-Modus oder Free-Tier) ist die Haftung bei einfacher Fahrlässigkeit auf maximal 500 EUR je Schadensfall begrenzt.
d) Mittelbare Schäden, entgangener Gewinn und Folgeschäden sind bei einfacher Fahrlässigkeit ausgeschlossen, sofern keine Kardinalpflicht verletzt wurde.
(4) Verhältnis zu den AGB: Die Haftungsregelungen dieses AVV gehen entgegenstehenden Regelungen in den AGB vor, soweit es um die Auftragsverarbeitung geht.
(1) Dieser AVV ist Bestandteil der Nutzungsbedingungen (AGB) von SmartFill PDF. Im Falle von Widersprüchen geht dieser AVV den AGB vor, soweit es um datenschutzrechtliche Auftragsverarbeitung geht.
(2) Es gilt das Recht der Bundesrepublik Deutschland.
(3) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
(4) B2B-Sondervereinbarung: Gewerbliche Kunden (Unternehmen, Behörden, Einrichtungen), die eine gesondert unterzeichnete AVV als eigenständiges Dokument benötigen, können diese auf Anfrage per E-Mail anfordern.