White-Label und DSGVO: Verarbeitung, AV-Vertrag, Löschung
Verträge enthalten personenbezogene und oft berufsgeheimnisgeschützte Daten. Deshalb ist Datenschutz bei einer White-Label-Vertragsanalyse kein Anhang, sondern Teil der Architektur. Diese Seite fasst zusammen, wie die Verarbeitung läuft, welche Verträge nötig sind und welche Nachweise Sie für Ihre eigene Dokumentation bekommen.
Rollen: Sie sind verantwortlich, wir verarbeiten
Sie bleiben datenschutzrechtlich Verantwortliche oder Verantwortlicher für die Dokumente Ihrer Nutzerinnen und Nutzer. CheckVertrag ist Auftragsverarbeiter nach Art. 28 DSGVO und verarbeitet ausschließlich weisungsgebunden zum Zweck der Analyse. Vor dem Produktivstart wird ein Auftragsverarbeitungsvertrag geschlossen, inklusive Liste der Subprozessoren und technisch-organisatorischer Maßnahmen.
Wo und wie verarbeitet wird
- Verarbeitung in der EU; Übertragung ausschließlich TLS-verschlüsselt, Speicherung verschlüsselt.
- Auf Wunsch Verarbeitung ohne dauerhafte Speicherung: Dokument wird nach Erstellung des Ergebnisses verworfen.
- Konfigurierbare Löschfristen pro Mandant, zusätzlich sofortige Löschung per API-Aufruf.
- Keine Nutzung Ihrer Dokumente oder Ergebnisse zum Training von Modellen.
- Mandantentrennung: Analysen sind strikt auf Ihren Zugang beschränkt, Zugriff nach Least-Privilege-Prinzip.
Was Sie für Ihre Dokumentation erhalten
| Dokument | Inhalt | Wofür Sie es brauchen |
|---|---|---|
| AV-Vertrag (Art. 28 DSGVO) | Zweck, Weisungen, Dauer, Betroffenenrechte | Pflichtgrundlage vor dem Produktivstart |
| TOM-Übersicht | Verschlüsselung, Zugriffskontrolle, Protokollierung, Backups | Anlage zum AV-Vertrag und interne Prüfung |
| Subprozessor-Liste | eingesetzte Dienste inklusive Standort | Transparenz gegenüber Ihren Kunden |
| Löschkonzept | Fristen, sofortige Löschung, Backup-Zyklen | Nachweis der Speicherbegrenzung (Art. 5 DSGVO) |
| Beschreibung der Verarbeitung | Datenflüsse vom Upload bis zum Ergebnis | Eintrag in Ihr Verarbeitungsverzeichnis |
Kanzleien: Berufsgeheimnis nach § 203 StGB
Für Kanzleien gilt zusätzlich zur DSGVO das Berufsgeheimnis. Dienstleister, die Zugang zu Mandatsdaten erhalten können, sind nach § 203 Abs. 3 StGB zur Verschwiegenheit zu verpflichten und entsprechend sorgfältig auszuwählen. Genau das wird vertraglich abgebildet – ergänzt um die Option, Dokumente nicht dauerhaft zu speichern, sodass die Datenmenge beim Dienstleister minimal bleibt.
Was Sie Ihren Nutzern kommunizieren sollten
- Nennen Sie die Vertragsanalyse in Ihrer Datenschutzerklärung samt Zweck und Rechtsgrundlage.
- Weisen Sie darauf hin, dass die Analyse eine Ersteinschätzung ist und keine Rechtsberatung im Einzelfall ersetzt.
- Zeigen Sie die Speicherdauer transparent an und bieten Sie eine sichtbare Löschfunktion.
- Bei besonders sensiblen Verträgen: Option anbieten, das Dokument direkt nach der Analyse zu entfernen.
Häufige Fragen
- Werden unsere Dokumente zum Training verwendet?
- Nein. Ihre Dokumente und die daraus erzeugten Ergebnisse werden nicht zum Training von Modellen verwendet.
- Findet die Verarbeitung in der EU statt?
- Ja, die Verarbeitung erfolgt in der EU. Die eingesetzten Subprozessoren inklusive Standort sind im AV-Vertrag als Anlage aufgeführt.
- Können Dokumente sofort gelöscht werden?
- Ja. Neben konfigurierbaren Löschfristen pro Mandant lässt sich jede Analyse samt Dokument per API-Aufruf sofort löschen; auf Wunsch wird das Dokument gar nicht erst dauerhaft gespeichert.
- Dürfen Kanzleien mandatsbezogene Verträge hochladen?
- Mit einem AV-Vertrag und der Verpflichtung zur Verschwiegenheit nach § 203 Abs. 3 StGB ist der Einsatz möglich. Ob Mandantendaten im Einzelfall weitergegeben werden dürfen, bleibt eine berufsrechtliche Entscheidung der Kanzlei – dieser Text ist keine Rechtsberatung.
- Bekommen wir einen AV-Vertrag vor dem Test?
- Ja. Für Pilotprojekte mit echten Dokumenten wird der AV-Vertrag vorab geschlossen; für reine Funktionstests stellen wir Beispielverträge bereit.