Rechtliches

Auftragsverarbeitungsvertrag

Gültig ab 26. Juli 2026. Alle Rechtsdokumente

Dies ist eine Übersetzung. Bei Abweichungen ist die englische Fassung maßgeblich.

Sovryk wird vor der Eintragung des Unternehmens in Rumänien betrieben. Firmenname, Anschrift und Registernummer werden hier veröffentlicht, sobald die Eintragung abgeschlossen ist. Bis dahin ist der Betreiber erreichbar unter contact@sovryk.com.

Dieser Vertrag (der "DPA") regelt die Verarbeitung personenbezogener Daten durch Sovryk im Auftrag des Kunden im Zusammenhang mit dem verschlüsselten Kommunikationsdienst von Sovryk (der "Dienst"). Er wird gemeinsam mit den Nutzungsbedingungen unterzeichnet und bildet eine Anlage dazu.

---

Die Parteien

Der Verantwortliche (der "Kunde"):

________________, mit Sitz in ________________, Registernummer ________________, vertreten durch ________________.

Der Auftragsverarbeiter ("Sovryk"):

Sovryk, mit Sitz in registered address to be published on incorporation, Registernummer registration number pending, vertreten durch the Sovryk operator.

Datum des Inkrafttretens: 26 July 2026.

---

1. Gegenstand und Rollen

1.1. Der Kunde ist der Verantwortliche; Sovryk ist der Auftragsverarbeiter und verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden (einschließlich dieses DPA und der Nutzungsbedingungen).

1.2. Sovryk verarbeitet die Daten nicht zu eigenen Zwecken und verkauft sie nicht.

1.3. Erhält Sovryk eine Weisung, die nach seiner Auffassung gegen die DSGVO oder anderes anwendbares Recht verstößt, informiert Sovryk den Kunden unverzüglich.

2. Laufzeit

2.1. Dieser DPA gilt, solange der Dienst erbracht wird, und bis die Daten nach §9 gelöscht oder zurückgegeben sind.

3. Art und Zweck der Verarbeitung (Anlage 1)

Festgelegt in Anlage 1: die Kategorien betroffener Personen, die Arten der Daten, die Verarbeitungsvorgänge und der Zweck.

4. Pflichten des Kunden (Verantwortlicher)

4.1. Stellt sicher, dass für die in den Dienst eingegebenen Daten eine gültige Rechtsgrundlage besteht.

4.2. Erteilt rechtmäßige Weisungen und ist für die Rechtmäßigkeit der von ihm hochgeladenen Daten verantwortlich.

4.3. Erfüllt die Informationspflichten gegenüber seinen eigenen betroffenen Personen (Mitarbeitende, Mandanten der Kanzlei).

5. Pflichten von Sovryk (Auftragsverarbeiter)

Sovryk verpflichtet sich:

5.1. Die Daten ausschließlich auf dokumentierte Weisung des Kunden zu verarbeiten.

5.2. Vertraulichkeit sicherzustellen. Zur Verarbeitung der Daten befugte Personen sind zur Vertraulichkeit verpflichtet.

5.3. Die technischen und organisatorischen Maßnahmen in Anlage 2 umzusetzen (Art. 32 DSGVO).

5.4. Die Bedingungen für die Hinzuziehung von Unterauftragsverarbeitern einzuhalten (§6).

5.5. Den Kunden, soweit angesichts der Ende-zu-Ende-Verschlüsselung möglich, zu unterstützen bei:

• der Beantwortung von Anfragen betroffener Personen (§7);
• der Einhaltung der Artikel 32 bis 36 (Sicherheit, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung).

5.6. Die Daten bei Vertragsende zu löschen oder zurückzugeben (§9).

5.7. Die zum Nachweis der Einhaltung erforderlichen Informationen bereitzustellen und Überprüfungen zu ermöglichen (§8).

5.8. Den Kunden über jede Verletzung des Schutzes personenbezogener Daten unverzüglich und innerhalb von 72 Stunden nach Kenntniserlangung zu benachrichtigen (§10).

6. Unterauftragsverarbeiter

6.1. Der Kunde erteilt eine allgemeine Genehmigung für den Einsatz von Unterauftragsverarbeitern zur Erbringung des Dienstes. Die aktuelle Liste befindet sich in Anlage 3.

6.2. Sovryk erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf wie in diesem DPA.

6.3. Sovryk informiert den Kunden über die Ersetzung oder Hinzuziehung eines Unterauftragsverarbeiters mindestens 15 Tage im Voraus; der Kunde kann aus nachvollziehbaren datenschutzrechtlichen Gründen Einspruch erheben.

6.4. Sovryk bleibt gegenüber dem Kunden für das Handeln seiner Unterauftragsverarbeiter haftbar.

7. Rechte der betroffenen Personen

7.1. Sovryk unterstützt den Kunden durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung von Anfragen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

7.2. Eine ehrliche technische Einschränkung: Der Inhalt der Kommunikation ist Ende-zu-Ende verschlüsselt. Sovryk besitzt die Schlüssel nicht und kann nicht auf die Inhalte zugreifen. Die Unterstützung beschränkt sich daher auf die Daten, über die Sovryk technisch verfügt (zum Beispiel minimale Kontodaten).

7.3. Wendet sich eine betroffene Person direkt an Sovryk, wird die Anfrage an den Kunden weitergeleitet.

8. Überprüfung

8.1. Sovryk stellt die zum Nachweis der Einhaltung erforderlichen Informationen bereit, einschließlich der veröffentlichten Sicherheitsvorkehrungen sowie vorhandener Berichte oder Zertifizierungen.

8.2. Der Kunde kann höchstens einmal jährlich eine Überprüfung verlangen (selbst oder durch einen unabhängigen Prüfer, unter Vertraulichkeit), mit angemessener Vorankündigung, ohne den Betrieb zu stören und ohne Daten anderer Kunden offenzulegen.

9. Löschung oder Rückgabe bei Vertragsende

9.1. Bei Beendigung des Dienstes löscht Sovryk nach Wahl des Kunden alle Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht.

9.2. Frist: innerhalb von 30 Tagen nach Beendigung. Verschlüsselte Sicherungskopien werden rotiert und laufen entsprechend dem Aufbewahrungszyklus ab.

10. Verletzungen des Schutzes personenbezogener Daten

10.1. Nach Kenntniserlangung von einer Verletzung benachrichtigt Sovryk den Kunden unverzüglich (innerhalb von 72 Stunden) und gibt dabei an: die Art der Verletzung, die ungefähren Kategorien und die Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen.

10.2. Aufgrund des Designs aus minimalen Daten plus Ende-zu-Ende-Verschlüsselung bleiben die Inhalte bei einer Kompromittierung des Servers verschlüsselt und für den Angreifer unzugänglich.

11. Internationale Datenübermittlungen

11.1. Der Server wird in Iceland (1984 Hosting, Reykjavik) gehostet.

11.2. Umfasst die Verarbeitung eine Übermittlung außerhalb des EWR in ein Land ohne Angemessenheitsbeschluss, gelten die Standardvertragsklauseln (SCCs) der Europäischen Kommission oder ein anderer gültiger Mechanismus, beigefügt als Anlage 4.

11.3. Island ist Teil des EWR und für die Schweiz besteht ein Angemessenheitsbeschluss, sodass für diese Regionen in der Regel keine SCCs erforderlich sind. Dies wird für die tatsächlich gewählte Region bestätigt.

12. Haftung

12.1. Die Haftung richtet sich nach den Nutzungsbedingungen und nach Art. 82 DSGVO. Jede Partei haftet für ihre eigenen Verstöße.

13. Anwendbares Recht

13.1. Dieser DPA unterliegt rumänischem Recht. Im Falle eines Widerspruchs zwischen diesem DPA und den Nutzungsbedingungen in Datenschutzfragen hat dieser DPA Vorrang.

---

Anlage 1: Einzelheiten der Verarbeitung

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32)

Zusammenfassung:

• Ende-zu-Ende-Verschlüsselung der Inhalte (Olm/Megolm); Sovryk besitzt die Schlüssel nicht
• TLS 1.2+/1.3 bei der Übertragung, HSTS, Sicherheits-Header
• Serverhärtung: Firewall, fail2ban, no-new-privileges, Datenbank nicht öffentlich erreichbar, automatische Updates
• Registrierung nur mit Freigabe (Token oder Gutschein), Rate-Limiting
• Datenminimierung by Design: keine Telefonnummer, minimale Erhebung
• Verschlüsselte Off-Site-Backups; schriftlicher Notfallplan zur Reaktion auf Vorfälle
• Interne Zugriffskontrolle, Prinzip der geringsten Rechte, Vertraulichkeit der Mitarbeitenden

Anlage 3: Genehmigte Unterauftragsverarbeiter

Anlage 4: Standardvertragsklauseln (sofern anwendbar)

Die SCCs der Europäischen Kommission, Modul Verantwortlicher an Auftragsverarbeiter, werden beigefügt, wenn das Hosting außerhalb des EWR ohne Angemessenheitsbeschluss erfolgt.

---

Unterschriften

Für den Verantwortlichen (Kunde): _______________________ Datum: __________

Für Sovryk (Auftragsverarbeiter): _______________________ Datum: __________