[Zurück zur Startseite](https://smartfillpdf.com/) # Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO) Stand: 14. Juli 2026v4.0Version 04 Hinweis: Dieser Vertrag gilt für alle Nutzer von SmartFill PDF (Auftraggeber) gegenüber Matthias Hansen, Abendrothsweg 26, 20251 Hamburg (Auftragnehmer/Anbieter). Er wird durch Zustimmung zu den Nutzungsbedingungen verbindlich. Für gewerbliche Kunden (B2B), die eine gesondert unterzeichnete Fassung benötigen, steht diese auf Anfrage zur Verfügung. ## 1Vertragsparteien Auftraggeber (Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO): Der jeweilige Nutzer von SmartFill PDF – natürliche oder juristische Person –, der sich registriert und die Software zur Verarbeitung von PDF-Dokumenten nutzt. Auftragnehmer (Auftragsverarbeiter i.S.d. Art. 4 Nr. 8 DSGVO): Matthias Hansen Abendrothsweg 26 20251 Hamburg E-Mail:Email Adresse ## 2Gegenstand und Dauer des Vertrags (1) Gegenstand: Dieser AVV regelt die Auftragsverarbeitung im Rahmen der Nutzung der SaaS-Anwendung SmartFill PDF (smartfillpdf.com). Der Auftragnehmer verarbeitet dabei personenbezogene Daten, die in den vom Auftraggeber hochgeladenen PDF-Dokumenten enthalten sein können, ausschließlich im Auftrag und nach den Weisungen des Auftraggebers. (2) Dauer: Dieser AVV gilt für die gesamte Dauer des Nutzungsverhältnisses zwischen Auftraggeber und Auftragnehmer. Er endet mit Beendigung des Nutzungsvertrags, unbeschadet der Regelungen zur Datenlöschung gemäß Ziffer 10. ## 3Art, Zweck und Umfang der Datenverarbeitung (1) Art und Zweck der Verarbeitung: - Speicherung und Verarbeitung von vom Auftraggeber hochgeladenen PDF-Formularen (Zieldokumente) - Entgegennahme und Verarbeitung der vom Auftraggeber bereitgestellten Befülldaten (z.B. aus Excel-Dateien, manuellen Eingaben) - Automatisiertes Ausfüllen von Formularfeldern und Generierung ausgefüllter PDF-Dokumente - Optionale KI-gestützte Analyse von Dokumenteninhalten (nur bei expliziter Nutzung der „Magic Wand"-Funktion durch den Auftraggeber) - Temporäre Speicherung von Vorlagen und Ausgabedokumenten in der Cloud (nur bei registrierten Nutzern) (2) Art der Daten: Die verarbeiteten Daten umfassen sämtliche Inhalte, die in den hochgeladenen PDF-Dokumenten und Befülldatensätzen enthalten sind. Dies können insbesondere sein: - Personenstammdaten (Name, Adresse, Geburtsdatum) - Kommunikationsdaten (E-Mail, Telefon) - Vertrags- und Geschäftsdaten - Sonstige in Formularen enthaltene personenbezogene Angaben (3) Kategorien betroffener Personen: Dritte natürliche Personen, deren Daten in den vom Auftraggeber hochgeladenen Dokumenten oder Befülldatensätzen enthalten sind (z.B. Kunden, Mitarbeiter, Patienten des Auftraggebers). Hinweis für besondere Kategorien (Art. 9 DSGVO): Sofern die verarbeiteten Dokumente besonders sensible Daten (z.B. Gesundheitsdaten, Daten zu Religionszugehörigkeit) enthalten, liegt die datenschutzrechtliche Verantwortung für die Zulässigkeit dieser Verarbeitung beim Auftraggeber. Ausschluss berufsgeheimnis-relevanter Inhalte (§ 203 StGB): SmartFill PDF ist nicht für die Verarbeitung von Inhalten ausgelegt, die einer berufsrechtlichen Schweigepflicht unterliegen (insbesondere Mandanten- oder Patientendaten von Ärzten, Rechtsanwälten, Steuerberatern, Notaren oder Psychotherapeuten). Der Auftraggeber sichert zu, derartige Inhalte ohne gesonderte schriftliche Vereinbarung nicht über die Anwendung zu verarbeiten. ## 4Verantwortlichkeit und Weisungsbindung (1) Der Auftraggeber ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO für die in den Dokumenten enthaltenen personenbezogenen Daten. Der Auftragnehmer verarbeitet diese ausschließlich als Auftragsverarbeiter auf dokumentierte Weisung des Auftraggebers. (2) Weisungen des Auftraggebers sind in diesem AVV und in den Nutzungsbedingungen grundsätzlich abschließend festgelegt. Die Nutzungshandlungen des Auftraggebers (z.B. Hochladen eines Dokuments, Auslösen der Formularausfüllung) gelten als dokumentierte Einzelweisungen. (3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen und die Durchführung bis zur Klärung auszusetzen. ## 5Vertraulichkeit (1) Der Auftragnehmer gewährleistet, dass alle zur Ausführung des Auftrags eingesetzten Personen zur Vertraulichkeit verpflichtet sind und nur auf die für ihre Tätigkeit erforderlichen Daten Zugriff erhalten. (2) Die Vertraulichkeitspflicht besteht über die Dauer dieses Vertrags hinaus fort. ## 6Technische und organisatorische Maßnahmen (TOM) Der Auftragnehmer trifft folgende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein angemessenes Schutzniveau zu gewährleisten: ### Zutrittskontrolle - Die Datenverarbeitung erfolgt ausschließlich in gesicherten Cloud-Rechenzentren (AWS Frankfurt/DE über Supabase) - Kein physischer Zugang Unbefugter zu den Systemen ### Zugangskontrolle - Authentifizierung über Supabase Auth mit sicherer Passwortverschlüsselung (bcrypt) - Zugriff auf Produktionssysteme nur für autorisierte Personen - Row-Level-Security (RLS) in der Datenbank: Nutzer können ausschließlich auf ihre eigenen Daten zugreifen ### Zugriffskontrolle - Rollenbasiertes Berechtigungskonzept (User / Admin) - Minimalprinzip: Zugriff nur auf die für die Aufgabe notwendigen Daten ### Trennungskontrolle - Mandantentrennung: Nutzerdaten sind durch RLS strikt getrennt - Keine gemeinsame Speicherung der Dokumente verschiedener Nutzer in einem zugänglichen Pool ### Übertragungskontrolle / Verschlüsselung - Alle Datenübertragungen erfolgen ausschließlich über TLS/HTTPS (mind. TLS 1.2) - Daten in der Datenbank werden verschlüsselt gespeichert (AES-256 durch AWS/Supabase) ### Verfügbarkeitskontrolle - Regelmäßige automatische Backups durch Supabase - Monitoring der Systemverfügbarkeit ### Pseudonymisierung / Datensparsamkeit - Hochgeladene Dokumente werden nur für die Dauer der Verarbeitungssitzung im Arbeitsspeicher gehalten (Gast-Modus: keine persistente Speicherung) - Bei registrierten Nutzern: Speicherung nur der vom Nutzer explizit gespeicherten Vorlagen ## 7Unterauftragnehmer (Sub-Auftragsverarbeiter) (1) Eingesetzte Unterauftragnehmer: Der Auftragnehmer setzt folgende Unterauftragnehmer ein, denen gegenüber gleichwertige Datenschutzverpflichtungen bestehen: Supabase Inc. 970 Toa Payoh North #07-04, Singapore 319000 Zweck: Datenbankinfrastruktur, Authentifizierung, Dateispeicherung Speicherort: AWS Frankfurt, Deutschland (EU) Rechtsgrundlage Drittlandtransfer: EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO, vereinbart im Data Processing Addendum (DPA) zwischen dem Auftragnehmer und Supabase Inc., unterzeichnet am 14.05.2026 (Dok.-Ref. Z5NRA-CQ3UO-VXGKJ-CNHF7). Das DPA wird auf Anfrage vorgelegt. Google Ireland Limited (Google Gemini API) Gordon House, Barrow Street, Dublin 4, Irland Zweck: KI-gestützte Analyse von Dokumenteninhalten – ausschließlich bei expliziter Nutzung der „Magic Wand"-Funktion durch den Auftraggeber Wichtig: Google Gemini wird ausschließlich dann aktiviert, wenn der Nutzer die Funktion bewusst auslöst. Dokumente werden nicht automatisch an Google übermittelt. Google verarbeitet die Daten nicht zum Training von KI-Modellen (Business API). Rechtsgrundlage: Standardvertragsklauseln der EU (SCC) gem. Art. 46 Abs. 2 lit. c DSGVO IONOS SE Elgendorfer Str. 57, 56410 Montabaur, Deutschland Zweck: Hosting des Frontends (statische Website) Speicherort: Deutschland (EU) OpenAI Ireland Ltd. (OpenAI API) 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland Zweck: KI-Extraktion — Auslesen der vom Nutzer bereitgestellten Quelldokumente und Zuordnen der Inhalte zu Formularfeldern. Die Übermittlung erfolgt ausschließlich, wenn der Nutzer die KI-Funktion aktiv auslöst; eine automatische Übermittlung findet nicht statt. Speicherort/Verarbeitung: Verarbeitung auch in den USA (verbundene Unternehmen, insb. OpenAI OpCo, LLC) Rechtsgrundlage Drittlandtransfer: EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO, vereinbart im Data Processing Addendum (DPA) mit OpenAI Ireland Ltd., unterzeichnet am 13.07.2026 (DocuSign-Ref. 6929ABA3-D101-812F-8012-B084F12B374A). Das DPA wird auf Anfrage vorgelegt. Wichtig: OpenAI verwendet über die API übermittelte Daten nicht zum Training von KI-Modellen; Aufbewahrung nur zur Missbrauchskontrolle (max. 30 Tage). (2) Zustimmung: Der Auftraggeber erklärt sich durch Zustimmung zu diesem AVV mit dem Einsatz der in Absatz 1 genannten Unterauftragnehmer einverstanden. (3) Information und Widerspruchsrecht bei Wechsel: a) Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragnehmer hinzuzuziehen oder einen bestehenden auszutauschen, informiert er den Auftraggeber mindestens 30 Kalendertage vor der geplanten Änderung in Textform (z.B. per E-Mail). b) Der Auftraggeber kann der geplanten Änderung innerhalb von 14 Kalendertagen nach Zugang in Textform widersprechen. Der Widerspruch ist auf datenschutzrechtliche Gründe zu stützen. c) Lässt sich ein begründeter Widerspruch nicht innerhalb von 30 Kalendertagen ausräumen, ist der Auftraggeber berechtigt, den Nutzungsvertrag außerordentlich zu kündigen. Bereits gezahlte Vergütungen werden anteilig erstattet. d) Erfolgt innerhalb der Frist nach Buchstabe b kein Widerspruch, gilt die Zustimmung als erteilt. ## 8Unterstützung bei Betroffenenrechten Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung von Anfragen betroffener Personen (Art. 15–22 DSGVO), soweit diese die im Rahmen dieses AVV verarbeiteten Daten betreffen, insbesondere: - Auskunft über gespeicherte Dokumente und Daten - Berichtigung oder Löschung - Einschränkung der Verarbeitung Der Auftraggeber kann jederzeit alle seine gespeicherten Vorlagen und Daten über die App-Einstellungen einsehen und löschen. Die Kontoeigenlöschung ist ebenfalls jederzeit möglich. ## 9Meldung von Datenschutzverletzungen Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Daten des Auftraggebers betrifft. Die Meldung erfolgt per E-Mail an die bei der Registrierung hinterlegte Adresse oder über die in der App zugänglichen Kontaktdaten. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten gegenüber der zuständigen Aufsichtsbehörde (Art. 33 DSGVO) und gegenüber betroffenen Personen (Art. 34 DSGVO). ## 10Rückgabe und Löschung von Daten (1) Der Auftraggeber kann seine Daten (Vorlagen, Ausgabedokumente) jederzeit aus der Anwendung herunterladen und selbst löschen. (2) Nach Beendigung des Nutzungsvertrags (Kontolöschung) werden alle vom Auftraggeber gespeicherten Inhaltsdaten gelöscht. Eine Löschung erfolgt spätestens 30 Tage nach Vertragsbeendigung. (3) Im Gast-Modus (ohne Registrierung) werden hochgeladene Dokumente ausschließlich für die Dauer der aktiven Browser-Sitzung im Arbeitsspeicher gehalten und nicht persistent gespeichert. ## 11Nachweise und Kontrollrechte (Audit) (1) Nachweisverfahren (erste Stufe): Der Auftragnehmer stellt dem Auftraggeber auf Anfrage in folgender Reihenfolge Nachweise zur Verfügung: - Ausgefüllter Selbstauskunfts-Fragebogen zu den technischen und organisatorischen Maßnahmen - Anerkannte Zertifikate und Prüfberichte der Unterauftragnehmer (z.B. SOC 2 Type II, ISO 27001 von AWS/Supabase) - Das mit Supabase abgeschlossene Data Processing Addendum nebst Standardvertragsklauseln (vgl. Ziffer 7) (2) Vor-Ort-Kontrolle (zweite Stufe): Soweit die Unterlagen nach Absatz 1 nicht ausreichen, ist der Auftraggeber berechtigt, eine Vor-Ort-Kontrolle durchzuführen oder durch einen beauftragten Dritten durchführen zu lassen. Dabei gelten folgende Modalitäten: Ankündigung: Schriftlich, mindestens 30 Werktage Vorlaufzeit. Frequenz: Höchstens einmal pro Kalenderjahr (zusätzlich bei begründetem Anlass möglich). Zeit: Werktags zu üblichen Geschäftszeiten (Mo–Fr, 9–17 Uhr), nach vorheriger Terminabstimmung. Anforderungen: Der Auditor darf kein unmittelbarer Wettbewerber sein und ist zur Vertraulichkeit zu verpflichten. Kosten: Trägt der Auftraggeber, einschließlich angemessener Aufwandsentschädigung. Bei erheblichen Pflichtverletzungen des Auftragnehmers trägt dieser seine eigenen Kosten. (3) Anfragen sind per E-Mail an die in Ziffer 1 genannte Adresse zu richten. ## 12Haftung (1) Außenverhältnis: Im Verhältnis zu betroffenen Personen haften die Parteien nach Maßgabe des Art. 82 DSGVO. (2) Innenausgleich: Soweit eine Partei nach Art. 82 DSGVO gegenüber einer betroffenen Person mehr leistet, als ihrem Verschuldensanteil entspricht, kann sie von der anderen Partei einen entsprechenden Innenausgleich nach Art. 82 Abs. 5 DSGVO verlangen. (3) Innenverhältnis: a) Bei Vorsatz und grober Fahrlässigkeit sowie bei Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit haftet der Auftragnehmer unbegrenzt. b) Bei einfacher Fahrlässigkeit haftet der Auftragnehmer nur bei Verletzung einer wesentlichen Vertragspflicht (Kardinalpflicht). Die Haftung ist begrenzt auf den niedrigeren der folgenden Beträge: die in den letzten 12 Monaten tatsächlich gezahlten Nettoentgelte, oder 5.000 EUR je Schadensfall / 15.000 EUR je Vertragsjahr. c) Für unentgeltliche Nutzung (Gast-Modus oder Free-Tier) ist die Haftung bei einfacher Fahrlässigkeit auf maximal 500 EUR je Schadensfall begrenzt. d) Mittelbare Schäden, entgangener Gewinn und Folgeschäden sind bei einfacher Fahrlässigkeit ausgeschlossen, sofern keine Kardinalpflicht verletzt wurde. (4) Verhältnis zu den AGB: Die Haftungsregelungen dieses AVV gehen entgegenstehenden Regelungen in den AGB vor, soweit es um die Auftragsverarbeitung geht. ## 13Schlussbestimmungen (1) Dieser AVV ist Bestandteil der Nutzungsbedingungen (AGB) von SmartFill PDF. Im Falle von Widersprüchen geht dieser AVV den AGB vor, soweit es um datenschutzrechtliche Auftragsverarbeitung geht. (2) Es gilt das Recht der Bundesrepublik Deutschland. (3) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein, bleibt der Vertrag im Übrigen wirksam. (4) B2B-Sondervereinbarung: Gewerbliche Kunden (Unternehmen, Behörden, Einrichtungen), die eine gesondert unterzeichnete AVV als eigenständiges Dokument benötigen, können diese auf Anfrage per E-Mail anfordern. [Zurück zur Startseite](https://smartfillpdf.com/)