Auftragsverarbeitung (AVV/ADV)

Stand: Oktober 2026

Diese Seite beschreibt die Grundlagen der Auftragsverarbeitung (auch „AVV“ oder „ADV“) für Papernaut gemäß Art. 28 DSGVO. Der vollständige Vertrag zur Auftragsverarbeitung wird im Rahmen der Zusammenarbeit bereitgestellt.

Sie bezieht sich auf die Anwendung Papernaut. Ergänzende Informationen zur Verarbeitung personenbezogener Daten auf der Website und in der Anwendung finden Sie in unserer gemeinsamen Datenschutzerklärung.

1. Rollen nach DSGVO

• Kunde: Verantwortlicher im Sinne der DSGVO (Art. 4 Nr. 7 DSGVO), soweit er über Zwecke und Mittel der Verarbeitung entscheidet.
• Garden of Concepts GmbH: Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO), soweit personenbezogene Daten im Auftrag verarbeitet werden.

Die Verarbeitung von Kundendaten erfolgt für die Bereitstellung von Papernaut und nach den dokumentierten Weisungen des Kunden. Einzelheiten zu Weisungen, zur Vertraulichkeit der eingesetzten Personen und zu den Pflichten beider Parteien regelt der vollständige AVV.

2. Gegenstand und Dauer

Gegenstand ist die Bereitstellung und der Betrieb von Papernaut als Dokumentenmanagementsystem. Dauer und Umfang ergeben sich aus dem jeweiligen Vertrag.

3. Art und Zweck der Verarbeitung

Verarbeitungen können – abhängig von der Nutzung – insbesondere umfassen:

• Speicherung, Organisation und Bereitstellung von Dokumenten
• Bei Nutzung des optionalen E-Mail-Imports: Empfang und Verarbeitung eingehender E-Mails zur Übernahme ihrer Dokumentanhänge
• Automatische Klassifikation, Texterkennung (OCR) und Extraktion von Metadaten
• Metadatenverwaltung und Suchfunktionen
• Protokollierung sicherheitsrelevanter Vorgänge (z. B. Zugriffe)
• Bei einer Problemmeldung durch einen Benutzer des Kunden: Analyse der gemeldeten Angaben und, nur auf ausdrückliche Weisung dieses Benutzers, einer Kopie der Datei durch unser Support-Team zur Fehlerbehebung; Löschung nach 7 Tagen (siehe Datenschutzerklärung, Problemmeldungen)

4. Kategorien betroffener Personen und Daten

Je nach Nutzung können betroffen sein:

• Mitarbeiter:innen, Kund:innen, Lieferant:innen, Interessent:innen des Kunden
• Kontaktdaten, Vertrags-/Vorgangsdaten, Dokumentinhalte, Nutzungs- und Protokolldaten
• Bei Nutzung des E-Mail-Imports zusätzlich: Absender- und Empfängerangaben, Betreff, Nachrichteninhalt, Anhänge und technische E-Mail-Metadaten

5. Datenstandort

• Die Anwendung und die Speicherung der Kundendokumente laufen in einem Rechenzentrum in Amsterdam (Niederlande). Die in Abschnitt 8 genannten Dienste zur Dokumentverarbeitung haben Verarbeitungsstandorte in der EU.
• Die eingesetzten Dienstleister verarbeiten Daten auch an weiteren Standorten innerhalb der EU. Offsite-Backups liegen bei OVH in Deutschland. Die KI-Inferenz für Klassifikation, Extraktion und Embeddings läuft bei TensorX in Dublin (Irland) und Helsinki (Finnland). Lettermint nutzt für E-Mail-Daten unter anderem Infrastruktur in den Niederlanden und Backups in Deutschland (siehe Abschnitt 8).
• Der Anbieter hat seinen Sitz in Deutschland. Für die Anmeldeformulare kommt zusätzlich der in Abschnitt 8 genannte Anbieter Cloudflare mit Sitz in den USA zum Einsatz. Er erhält nach der vorgesehenen Konfiguration keine Kundendokumente; bei technischen Daten ist ein Drittlandbezug gesondert zu berücksichtigen. Die technische Betriebsüberwachung läuft bei Scaleway im Rechenzentrum in Amsterdam.

6. Technische und organisatorische Maßnahmen (TOM)

Der Anbieter setzt angemessene TOM nach Art. 32 DSGVO ein, insbesondere:

• Verschlüsselung bei der Übertragung: TLS für alle Verbindungen zur Anwendung und zwischen den beteiligten Diensten.
• Verschlüsselung im Ruhezustand: Dokumente werden serverseitig verschlüsselt (SSE-KMS). Jede Organisation erhält einen eigenen Schlüssel, Datenbank-Backups einen davon getrennten.
• Backups: vor der Übertragung clientseitig verschlüsselt und getrennt von der produktiven Umgebung aufbewahrt. Der Backup-Anbieter hat dadurch keinen Zugriff auf die Daten und Inhalte.
• Zugriffskontrolle: rollenbasierte Rechte, Trennung nach Organisation und Workspace, Authentifizierung über einen eigenbetriebenen Identity-Provider.
• Nachvollziehbarkeit: Protokoll je Dokument, Versionierung und Papierkorb.
• Schadsoftware-Prüfung: hochgeladene Dateien werden vor der Verarbeitung geprüft.

Details sind Bestandteil des vollständigen AVV.

7. Verarbeitung durch KI-Dienste

Papernaut nutzt KI für Texterkennung, Klassifikation und die Extraktion von Metadaten. Dafür gilt:

• Es kommen ausschließlich Anbieter mit Sitz in der EU zum Einsatz.
• Die übermittelten Inhalte werden nach den mit den Anbietern vereinbarten Bedingungen nicht für das Training von Modellen verwendet. Ob und wie lange technisch notwendige Zwischenkopien oder Protokolle gespeichert werden, richtet sich nach dem jeweiligen Dienst und den vertraglichen Vereinbarungen; „kein Training“ bedeutet nicht automatisch „keine Speicherung“.
• Übermittelt wird nur, was für die jeweilige Verarbeitung erforderlich ist.

8. Unterauftragsverarbeiter

Für die Verarbeitung von Kundendokumenten und optional eingehenden E-Mails eingesetzte Dienstleister:

Weitere Dienste für Systemnachrichten, Abrechnung, Missbrauchsschutz und technische Betriebsdaten:

Zahlungsmittel (z. B. Karten- oder Kontodaten) werden ausschließlich auf der Zahlungsseite von Mollie eingegeben und zu keinem Zeitpunkt in Papernaut gespeichert oder verarbeitet.

Die Verarbeitung in eigener Verantwortung betrifft hier die Verwaltung von Papernaut-Konten einschließlich notwendiger Systemnachrichten, die Vertrags- und Zahlungsabwicklung, den Schutz der Anmeldung vor Missbrauch sowie die technische Überwachung für Sicherheit, Fehlersuche und Verfügbarkeit. Dafür verwenden wir Konto-, Kontakt-, Abrechnungs- und technische Betriebsdaten, keine Kundendokumente. Einzelheiten stehen in der Datenschutzerklärung.

Ob ein Dienstleister bei einem konkreten Vorgang als Unterauftragsverarbeiter tätig wird, richtet sich nach der jeweiligen Verarbeitung und dem vollständigen AVV. Über Änderungen der Unterauftragsverarbeiter informieren wir nach Maßgabe des vollständigen AVV; ein dort geregeltes Widerspruchsrecht bleibt unberührt.

Transaktionaler E-Mail-Versand über Lettermint

Für Systemnachrichten wie Einladungen und das Zurücksetzen von Passwörtern nutzen wir Lettermint unabhängig vom optionalen E-Mail-Import. Laut Dokumentation zur Aufbewahrung versendeter E-Mail-Daten werden gespeicherte Nachrichteninhalte, Metadaten sowie Zustell- und Interaktionsereignisse regulär nach 28 Tagen automatisch gelöscht. Für einzelne Betriebsdaten können gesonderte gesetzliche oder sicherheitsbezogene Aufbewahrungspflichten gelten. Die Löschregeln für Sicherungskopien sind in Abschnitt 10 beschrieben.

Optionaler E-Mail-Import über Lettermint

Der E-Mail-Import ist optional. Nur wenn Sie diese Funktion nutzen und E-Mails an die dafür vorgesehene Papernaut-Adresse senden oder weiterleiten, erhält Lettermint die eingehenden Nachrichten einschließlich ihrer persönlichen Inhalte und Dokumentanhänge. Ohne Nutzung dieser Funktion setzen wir Lettermint für den transaktionalen E-Mail-Versand ein; Ihre in Papernaut hochgeladenen Dokumente werden dafür nicht an Lettermint übermittelt.

Lettermint empfängt und verarbeitet die vollständige E-Mail und stellt die Anhänge für den Import in Papernaut bereit. Laut Inbound-Dokumentation von Lettermint werden gespeicherte Anhänge und die vollständige Originalmail jeweils 28 Tage aufbewahrt. Für den Abruf bereitgestellte signierte Download-Links laufen am Ende dieser Frist ab. Der erfolgreiche Import in Papernaut löst keine sofortige Löschung bei Lettermint aus. Für Sicherungskopien gelten die gesonderten Löschregeln in Abschnitt 10.

Lettermint verarbeitet E-Mail-Daten innerhalb der EU. Die Unterauftragnehmerliste von Lettermint nennt insbesondere UpCloud in den Niederlanden für die Infrastruktur, OVH in Deutschland für Backups und Postmastery in den Niederlanden für Zustellbarkeit und IP-Reputation. Maßgeblich sind der Vertrag zur Auftragsverarbeitung von Lettermint und die dort geregelten Verarbeitungstätigkeiten.

9. Unterstützungspflichten

Der Anbieter unterstützt den Kunden nach Maßgabe des Vertrags bei:

• Betroffenenrechten (Art. 12–22 DSGVO)
• Meldungen von Datenschutzverletzungen (Art. 33, 34 DSGVO)
• Datenschutz-Folgenabschätzungen (Art. 35 DSGVO), soweit relevant

10. Löschung und Rückgabe

Nach Ende der Beauftragung werden personenbezogene Daten nach vertraglicher Regelung gelöscht oder zurückgegeben, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Ein Export der Dokumente inklusive Metadaten ist jederzeit möglich.

Für beim optionalen E-Mail-Import bei Lettermint gespeicherte Anhänge und Originalmails gilt die in Abschnitt 8 beschriebene Aufbewahrung von 28 Tagen. In Papernaut importierte Dokumente werden davon unabhängig nach den für Papernaut geltenden Regeln gespeichert und gelöscht.

Nach Abschnitt 11 des Lettermint-AVV können Restkopien in verschlüsselten, zugriffsbeschränkten Backups bis höchstens 14 Kalendertage nach der Löschung aus aktiven Systemen verbleiben, wenn eine sofortige Löschung aus den Backups technisch nicht möglich ist. Gesetzliche Aufbewahrungspflichten bleiben vorbehalten. Die 28-tägige Aufbewahrung ist daher keine Zusage, dass zu diesem Zeitpunkt bereits sämtliche Sicherungskopien gelöscht sind.

11. Kontrollrechte / Audits

Der Kunde hat Kontrollrechte nach Art. 28 DSGVO. Der Ablauf (z. B. Nachweise, Audits, Berichte) wird im vollständigen AVV geregelt.

AVV/ADV anfordern: Bitte kontaktieren Sie uns unter support@papernaut.de.
Weitere Pflichtangaben finden Sie im Impressum.