BarryPDF

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Version 2026-09-17.1, Stand 17. September 2026

1. Parteien und Geltungsbereich

Dieser Auftragsverarbeitungsvertrag („AVV“) wird zwischen dem Nutzer der PDF-Prüfung oder dem im Checkout bezeichneten Kunden („Auftraggeber“) und folgendem Auftragnehmer geschlossen:

Digitalendeavours, Alex König
c/o IP-Management #5272
Ludwig-Erhard-Str. 18
20459 Hamburg
Deutschland
E-Mail: kontakt@barrypdf.de
Telefon: +49 40 696328495

Der Auftraggeber handelt als Verantwortlicher oder als Auftragsverarbeiter eines Dritten. Wer für ihn eine Prüfung oder Bestellung startet, bestätigt, ihn vertreten und BarryPDF beauftragen zu dürfen. Dieser AVV gilt, soweit BarryPDF personenbezogene Daten aus einem hochgeladenen PDF im Auftrag verarbeitet. Er gilt ab dem ersten Upload, bei dem der Nutzer die verlinkten Verarbeitungshinweise bestätigt. Bei einer Bestellung wird die einbezogene Fassung zusätzlich dokumentiert.

Für Konten, Kommunikation, Abrechnung, Zahlung, Sicherheit und eigene gesetzliche Pflichten handelt BarryPDF in eigener Verantwortung. Dafür gilt die Datenschutzerklärung.

2. Beschreibung der Verarbeitung

Dieser Abschnitt regelt Gegenstand und Dauer, Art und Zweck, Datenarten, Betroffene Personen sowie Rechte und Pflichten des Auftraggebers.

Gegenstand und Dauer: BarryPDF speichert, prüft und bearbeitet die übermittelten PDF-Dokumente vorübergehend. Kostenlose Prüfungen werden spätestens 48 Stunden nach dem Upload gelöscht, sofern sie nicht in eine Bestellung übernommen werden. Bei einem bezahlten Dokument beginnt mit dem ersten vollständig abgeschlossenen und autorisierten Download eine Löschfrist von sieben Tagen. Ohne Download wird es spätestens 14 Tage nach Fertigstellung gelöscht. Bei einem endgültigen Bearbeitungsfehler wird das Quelldokument nach Einleitung der Erstattung gelöscht.

Art und Zweck: Die Verarbeitung umfasst insbesondere Empfang, Übertragung, Speicherung, Auslesen, Klassifikation, Texterkennung, Strukturierung, technische Veränderung, Prüfung, Bereitstellung und Löschung. Sie dient ausschließlich der angeforderten Prüfung, Preisermittlung und Aufbereitung.

Datenarten: Verarbeitet werden die im PDF enthaltenen und daraus abgeleiteten Daten. Dazu können Stamm-, Kontakt-, Kommunikations-, Vertrags-, Finanz- und Beschäftigtendaten, Bilder, Unterschriften, Freitexte sowie Daten nach Art. 9 und 10 DSGVO gehören. Für Betrieb und Sicherheit können außerdem pseudonyme technische Kennungen und Statusangaben verarbeitet werden; sie enthalten keine Dokumentinhalte.

Betroffene Personen: Betroffen sein können alle im Dokument genannten Personen, insbesondere Beschäftigte, Bewerber, Kunden, Interessenten, Lieferanten, Vertragspartner, Patienten, Mitglieder oder Bürger. Der Auftraggeber bestimmt Inhalt und Personengruppen des Dokuments.

Rechte und Pflichten des Auftraggebers: Der Auftraggeber oder der von ihm vertretene Verantwortliche bestimmt Zweck und Mittel der Verarbeitung. Der Auftraggeber erteilt nur Weisungen, zu denen er berechtigt ist. Er stellt sicher, dass er die Daten an BarryPDF übermitteln darf, erfüllt die für ihn geltenden Informationspflichten und beschränkt die Daten auf das Erforderliche.

3. Weisungen

BarryPDF verarbeitet Dokumentdaten nur auf dokumentierte Weisungen des Auftraggebers. Upload, gewählte Prüfung, Bestellung, dokumentbezogene Zustimmungen, Löschanforderungen und nachweisbare Einzelanweisungen gelten als dokumentierte Weisungen.

Gesetzlich vorgeschriebene Verarbeitungen teilt BarryPDF dem Auftraggeber vorab mit, soweit das Gesetz dies erlaubt. Hält BarryPDF eine Weisung für rechtswidrig, wird der Auftraggeber unverzüglich informiert und die Ausführung soweit möglich ausgesetzt.

4. Pflichten von BarryPDF

BarryPDF verpflichtet sich,

  1. Dokumentdaten nur im vereinbarten Umfang und nach Weisung zu verarbeiten;
  2. nur Personen einzusetzen, die zur Vertraulichkeit verpflichtet sind;
  3. die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO aufrechtzuerhalten und regelmäßig zu prüfen;
  4. Unterauftragsverarbeiter nach Art. 28 Abs. 2 und 4 DSGVO einzusetzen;
  5. den Auftraggeber bei Betroffenenrechten nach Art. 12 bis 22 DSGVO zu unterstützen;
  6. ihn bei Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen, insbesondere bei Sicherheitsvorfällen, Datenschutz-Folgenabschätzung und vorheriger Konsultation;
  7. Dokumentdaten nach Abschluss der Verarbeitung nach Wahl des Auftraggebers zurückzugeben oder zu löschen, soweit keine gesetzliche Pflicht entgegensteht;
  8. erforderliche Nachweise bereitzustellen und Kontrollen zu ermöglichen.

BarryPDF verwendet Dokumentinhalte weder für Werbung oder Profilbildung noch für das Training eigener oder fremder Modelle.

5. Betroffenenrechte

BarryPDF leitet Anfragen betroffener Personen zu Dokumentinhalten unverzüglich an den Auftraggeber weiter und antwortet nicht ohne Weisung. Soweit möglich, unterstützt BarryPDF bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und Entscheidungen nach Art. 22 DSGVO. Auf Weisung kann BarryPDF einen aktiven Dokumentzugang sperren oder eine vorzeitige Löschung auslösen. Die Identitätsprüfung bleibt Aufgabe des Auftraggebers.

6. Verletzung des Schutzes personenbezogener Daten

BarryPDF informiert den Auftraggeber unverzüglich über bekannt gewordene Verletzungen des Schutzes personenbezogener Daten. Eine erste Meldung erfolgt nach Möglichkeit innerhalb von 48 Stunden und enthält die verfügbaren Angaben zu Vorfall, betroffenen Daten und Personen, möglichen Folgen, Maßnahmen und Ansprechstelle. Fehlende Angaben werden ergänzt. BarryPDF unterstützt den Auftraggeber bei Meldungen nach Art. 33 und 34 DSGVO.

7. Unterauftragsverarbeiter

Der Auftraggeber erteilt eine allgemeine Genehmigung für die in Anlage 2 genannten Unterauftragsverarbeiter. BarryPDF verpflichtet sie vertraglich auf dieselben Datenschutzpflichten und bleibt für ihre Pflichten verantwortlich.

BarryPDF informiert mindestens 30 Tage, bevor ein Unterauftragsverarbeiter hinzukommt oder ersetzt wird. Der Auftraggeber kann innerhalb von 14 Tagen aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen. Finden die Parteien keine angemessene Lösung, kann der Auftraggeber die betroffene Verarbeitung vor der Änderung beenden.

Hanko, Brevo und Mollie erhalten keine Kundendokumente. Sie sind deshalb keine Unterauftragsverarbeiter dieses AVV.

8. Drittlandübermittlung

BarryPDF nutzt für die eigene Verarbeitung Infrastruktur in Europa und bei Mistral dessen europäischen API-Endpunkt. Soweit ein Unterauftragsverarbeiter Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet, gelten die Voraussetzungen der Art. 44 bis 49 DSGVO. Als Garantie dienen insbesondere ein Angemessenheitsbeschluss oder die Standardvertragsklauseln der Europäischen Kommission. Better Stack stützt Übermittlungen in die USA vorrangig auf das EU-US Data Privacy Framework und sonst auf Standardvertragsklauseln.

9. Rückgabe und Löschung

Die Rückgabe erfolgt durch die geschützte Bereitstellung des Ergebnisses und des Prüfberichts. Nach den Fristen aus Abschnitt 2 löscht BarryPDF Quell-, Zwischen- und Ergebnisdateien sowie daraus erzeugte Arbeitsdateien. Die Löschung wird ohne Dokumentinhalt dokumentiert. Verbleibende technische Kopien werden spätestens nach 30 Tagen entfernt.

Bei Beendigung dieses AVV löscht BarryPDF verbleibende Dokumentdaten oder gibt sie auf Wunsch vorher zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht. Vertrags-, Zahlungs- und Rechnungsnachweise werden getrennt gespeichert und verlängern nicht die Speicherfrist eines PDF-Dokuments.

10. Nachweise und Kontrollen

BarryPDF stellt die erforderlichen Informationen zum Nachweis der Pflichten nach Art. 28 DSGVO bereit. Dazu gehören insbesondere dieser AVV, die technischen und organisatorischen Maßnahmen, die Unterauftragsverarbeiterliste und geeignete Prüfnachweise.

Der Auftraggeber kann in angemessenen Abständen oder bei konkretem Anlass selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer Kontrollen durchführen. Sie sind mit angemessener Vorlaufzeit abzustimmen und sollen vorrangig anhand vorhandener Nachweise oder als Fernprüfung erfolgen. Sicherheitsvorfälle, behördliche Anordnungen und gesetzliche Aufsichtsrechte bleiben unberührt.

11. Laufzeit und Änderungen

Dieser AVV gilt für die Dauer der Verarbeitung von Dokumentinhalten und geht insoweit widersprechenden Regelungen der AGB vor. Änderungen bedürfen der Textform. Neue Fassungen gelten grundsätzlich nur für künftige Uploads und Aufträge; für laufende Verarbeitungen bleibt die dokumentierte Fassung maßgeblich.

Anlage 1: Technische und organisatorische Maßnahmen

1. Zutritts- und Rechenzentrumssicherheit

  • BarryPDF nutzt Rechenzentren von OVHcloud in Frankreich.
  • OVHcloud verantwortet die physischen Zutrittskontrollen sowie Strom-, Brand- und Umweltschutz nach seinen Vertrags- und Sicherheitsunterlagen.

2. Zugangs- und Zugriffskontrolle

  • Für die Administration werden persönliche administrative Zugänge eingesetzt. Interaktive Administrationsoberflächen sind mit Mehrfaktor-Authentifizierung geschützt.
  • Rechte werden nach dem Prinzip der geringsten Berechtigung vergeben, regelmäßig geprüft und bei Wegfall entzogen.
  • Datenbanken und Verarbeitungsdienste sind nicht unmittelbar öffentlich erreichbar und voneinander getrennt.
  • Kunden erhalten nur nach Authentifizierung oder mit einem zweckgebundenen Berechtigungsnachweis Zugriff. Ein regelmäßiger Beschäftigtenzugriff auf Kundendokumente ist nicht vorgesehen.

3. Übertragungs- und Speichersicherheit

  • Daten werden bei der Übertragung und im privaten Objektspeicher verschlüsselt.
  • Dokumente werden mit zufälligen, nicht sprechenden Kennungen gespeichert.
  • Temporäre Arbeitsdateien werden nach Abschluss oder Abbruch der Verarbeitung entfernt.
  • Geheimnisse werden außerhalb des Quellcodes verwaltet; Produktions-, Test- und Entwicklungszugänge sind getrennt.

4. Trennung und Datenminimierung

  • Kunden-, Auftrags- und Dokumentzugriffe werden logisch getrennt und serverseitig autorisiert.
  • Mistral erhält nur die für OCR, begrenzte Strukturentscheidungen oder Alternativtexte erforderlichen Seiten, Ausschnitte und Strukturdaten.
  • Hanko, Brevo und Mollie erhalten keine Dokumentinhalte.
  • Better Stack erhält nur minimierte technische Betriebsdaten und bereinigte Fehlerangaben, jedoch keine Dokumentinhalte, Kontaktdaten oder Zugangsdaten.

5. Protokollierung und Kontrolle

  • Betriebsprotokolle enthalten keine Dokumenttexte, Dateinamen, E-Mail-Adressen, Zugangsdaten oder vollständigen Zahlungsdaten.
  • Sicherheitsrelevante Vorgänge werden nachvollziehbar protokolliert und überprüft.
  • Better Stack speichert die begrenzten Betriebsdaten für 30 Tage in der deutschen Datenregion.

6. Verfügbarkeit, Wiederherstellung und Löschung

  • Sicherungen sind verschlüsselt, zugriffsbeschränkt und vom laufenden System getrennt. Wiederherstellungsverfahren werden regelmäßig geprüft.
  • Automatisierte Löschabläufe setzen die vereinbarten Dokumentfristen um und werden überwacht.
  • Verfügbarkeit und Sicherheitsereignisse werden überwacht; für Vorfälle besteht ein dokumentierter Reaktionsprozess.

7. Entwicklung und Änderungskontrolle

  • Änderungen durchlaufen vor der Bereitstellung automatisierte Qualitäts-, Sicherheits- und Funktionstests.
  • Abhängigkeiten werden überprüft und Sicherheitsaktualisierungen nach Risiko eingespielt.
  • Produktionsgeheimnisse werden nicht für Entwicklung oder öffentliche Vorschauumgebungen verwendet.

BarryPDF prüft diese Maßnahmen regelmäßig und darf sie nur ändern, wenn das Schutzniveau nicht sinkt. Wesentliche Änderungen werden dem Auftraggeber vorab mitgeteilt.

Anlage 2: Genehmigte Unterauftragsverarbeiter

OVH SAS

2 rue Kellermann, 59100 Roubaix, Frankreich. Aufgabe: Hosting, Datenbankbetrieb, Verarbeitung und privater Objektspeicher. Verarbeitungsort: Frankreich.

Mistral AI SAS

15 rue des Halles, 75001 Paris, Frankreich. Aufgabe: OCR, begrenzte Strukturentscheidungen, Alternativtextentwürfe anhand von Seitendarstellungen und Strukturdaten über den europäischen API-Endpunkt. API-Daten werden nach den veröffentlichten Bedingungen nicht zum Modelltraining verwendet. Mistral kann weitere Unterauftragsverarbeiter einsetzen und erforderliche Übermittlungen auf einen Angemessenheitsbeschluss oder Standardvertragsklauseln stützen.

Better Stack, Inc.

Delaware, USA. Aufgabe: Verfügbarkeitsüberwachung und Auswertung minimierter Betriebsdaten. Better Stack erhält pseudonyme technische Kennungen und bereinigte Fehlerangaben, aber keine Dokumentinhalte, Dateinamen, E-Mail- oder IP-Adressen. Die Daten werden 30 Tage in der deutschen Datenregion gespeichert. Mögliche Übermittlungen in die USA stützt Better Stack vorrangig auf das EU-US Data Privacy Framework und sonst auf Standardvertragsklauseln.

Hanko, Brevo und Mollie erhalten keine Kundendokumente und sind daher nicht Teil dieser Anlage.