Auftragsverarbeitung (AVV)

1. Datenschutzrechtliche Konstellation

Bei der Übergabe von Beweisaufnahmen über NachweisApp ist der Empfänger (Versicherer, Bank, Behörde, Sachverständiger, Anwaltskanzlei) im Sinne von Art. 4 Nr. 7 DSGVO der Verantwortliche für die personenbezogenen Daten der nutzenden Person, da der Empfänger über die Zwecke der Datenverarbeitung (Schadensbearbeitung, Verfahren, Begutachtung) entscheidet.

Die KI-Shield UG (haftungsbeschränkt) ist insoweit Auftragsverarbeiterin des Empfängers im Sinne von Art. 4 Nr. 8 und Art. 28 DSGVO. Sie verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Empfängers.

2. Besonderheit Zero-Knowledge-Architektur

Die Auftragsverarbeiterin hat zu keinem Zeitpunkt Zugriff auf den Klartext der übermittelten Beweisaufnahmen. Beweispakete sind bereits auf dem Endgerät der nutzenden Person Ende-zu-Ende-verschlüsselt. Der Server verarbeitet ausschließlich:

• den verschlüsselten Transportblock (AES-256-GCM mit 256-Bit-Schlüssel; der Schlüssel wird auf dem Endgerät erzeugt, verbleibt im Übergabe-Link und erreicht den Server nie),
• Metadaten zur Zustellung (Upload-Identifikator, Zeitstempel der Annahme),
• technische Server-Logs zur Betriebssicherheit (siehe Datenschutzerklärung Abschnitt 4.1).

Eine Entschlüsselung des Inhalts ist der Auftragsverarbeiterin technisch nicht möglich. Anfragen nach Art. 15 oder Art. 17 DSGVO bezüglich des Inhalts von Beweispaketen sind ausschließlich an den jeweiligen Empfänger als Verantwortlichen zu richten.

3. Verarbeitete Datenkategorien

Im Rahmen der Auftragsverarbeitung verarbeitet die Auftragsverarbeiterin folgende Datenkategorien:

• Verschlüsselte Beweispakete: für die Auftragsverarbeiterin nicht entschlüsselbare Binärdaten,
• Zustellungs-Metadaten: Upload-Identifikator, Zeitpunkt der Annahme, Zustellungsstatus,
• Optional die IP-Adresse des hochladenden Endgeräts beim Upload, gespeichert ausschließlich in den allgemeinen Server-Logfiles für maximal sieben Tage zum Zweck der Betriebssicherheit.

4. Zweck und Dauer der Verarbeitung

Zweck der Verarbeitung ist die Zustellung verschlüsselter Beweispakete von der nutzenden Person an den Empfänger. Die Dauer der serverseitigen Speicherung verschlüsselter Pakete ist auf höchstens 7 Tage nach Upload begrenzt; nach dem ersten Abruf über den Übergabe-Link wird das Paket sofort und unwiderruflich gelöscht (Self-Destruct).

5. Eingesetzte Subunternehmer

Die Auftragsverarbeiterin setzt folgende weitere Auftragsverarbeiter (Subunternehmer im Sinne von Art. 28 Abs. 2 und 4 DSGVO) ein:

Mit allen Subunternehmern bestehen Verträge zur Auftragsverarbeitung mit den Garantien des Art. 28 Abs. 3 DSGVO. Eine Änderung des Bestands an Subunternehmern wird Empfängern rechtzeitig vorab angezeigt; Empfänger können der Änderung aus wichtigem Grund widersprechen. Push-Benachrichtigungen über den Apple-Push-Notification-Service werden derzeit nicht eingesetzt. Die Apple Inc. und die Apple Distribution International Ltd. (Cork, Irland) treten ausschließlich als Distributoren der iOS-Anwendung über TestFlight und den Apple App Store auf. Sie sind keine Auftragsverarbeiter im Sinne des Art. 28 DSGVO, sondern verarbeiten Daten der App-Installation (Apple-ID, Build-Metadaten) eigenverantwortlich nach Art. 4 Nr. 7 DSGVO auf Grundlage der Apple-Datenschutzbedingungen. Übermittlungen in die USA stützen sich auf das EU-US Data Privacy Framework.

6. Technische und organisatorische Maßnahmen

Die Auftragsverarbeiterin trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, insbesondere:

• Pseudonymisierung und Verschlüsselung: Ende-zu-Ende-Verschlüsselung aller Beweispakete (AES-256-GCM), Transport ausschließlich über TLS 1.3,
• Vertraulichkeit: Zugriffskontrolle auf die Server-Infrastruktur über Mehr-Faktor-Authentisierung und SSH-Schlüssel, Berechtigungskonzept nach dem Prinzip der minimalen Rechte,
• Integrität: kryptografische Hybrid-Signatur aller Beweispakete (Ed25519 in Kombination mit ML-DSA-65 nach NIST FIPS 204), Eingangs- und Verarbeitungskontrolle,
• Verfügbarkeit und Belastbarkeit: redundante Stromversorgung und Netzanbindung im Rechenzentrum, regelmäßige verschlüsselte Sicherungen,
• Wiederherstellbarkeit: Verfahren zur zeitnahen Wiederherstellung der Verfügbarkeit nach einem physischen oder technischen Zwischenfall,
• Regelmäßige Überprüfung: Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen,
• Datenschutz durch Technikgestaltung: Designprinzip der Datenminimierung, Verzicht auf serverseitige Klartextverarbeitung.

Eine ausführliche Beschreibung der technischen und organisatorischen Maßnahmen wird Empfängern als Anlage zum AVV-Vertrag zur Verfügung gestellt.

7. Rechte und Pflichten der Vertragsparteien

Die Auftragsverarbeiterin verpflichtet sich gegenüber dem Empfänger insbesondere:

• Daten ausschließlich auf dokumentierte Weisung des Empfängers zu verarbeiten,
• zur Vertraulichkeit verpflichtete Personen einzusetzen,
• den Empfänger bei der Erfüllung der Rechte betroffener Personen (Art. 15 bis 22 DSGVO) zu unterstützen, soweit dies im Rahmen der Zero-Knowledge-Architektur möglich ist,
• den Empfänger bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen,
• Daten nach Beendigung des Vertrags zu löschen oder zurückzugeben, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen,
• dem Empfänger alle erforderlichen Informationen zur Nachweisführung zur Verfügung zu stellen und Überprüfungen sowie Inspektionen zu ermöglichen.

8. Abschluss des AVV-Vertrags

Vor Aufnahme der produktiven Nutzung von NachweisApp legt die Auftragsverarbeiterin dem Empfänger einen standardisierten Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zur Unterzeichnung vor. Empfänger können den Mustervertrag auf Anfrage erhalten unter:

E-Mail: info@ki-shield.de
Betreff: „AVV NachweisApp"