Zur Startseite

Rechtliches

Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO für die Nutzung von Slayper

Vertragsparteien

Verantwortlicher (im Folgenden „Kunde“): das Unternehmen, das Slayper nutzt, wie im Kundenkonto bzw. bei der Bestellung angegeben.

Auftragsverarbeiter (im Folgenden „Slayper“): David Hörnlein-Ulrich | Slayper, Kolonie 2, 14798 Havelsee, Deutschland, info@slayper.com.

Dieser Vertrag gilt für die gesamte Laufzeit der Nutzung von Slayper durch den Kunden. Er kommt zustande, wenn der Kunde ihn in Textform annimmt, zum Beispiel per E-Mail an info@slayper.com oder im Rahmen der Bestellung.

§ 1 Gegenstand und Dauer

(1) Slayper stellt dem Kunden einen Dienst zur Ende-zu-Ende-verschlüsselten Übertragung von Dateien bereit, mit Apps, Download- und Upload-Seiten, Upload-Links, Posteingang, Adressbuch, Übertragungsnachweisen und Schnittstellen zu Fachsoftware. Dabei verarbeitet Slayper personenbezogene Daten im Auftrag des Kunden. Art, Zweck, Datenarten und Betroffene ergeben sich aus Anlage 1.

(2) Die Verarbeitung findet ausschließlich in der Europäischen Union statt, derzeit in Deutschland. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Kunden und der Voraussetzungen der Art. 44 ff. DSGVO.

(3) Der Vertrag endet mit dem Ende der Nutzung. Die Regelungen zur Löschung und Rückgabe (§ 9) gelten darüber hinaus.

§ 2 Weisungen

(1) Slayper verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, eine gesetzliche Pflicht verlangt etwas anderes; in diesem Fall teilt Slayper dem Kunden diese Pflicht vorab mit, soweit das Gesetz es nicht verbietet. Weisungen sind dieser Vertrag, die Einstellungen und Aktionen des Kunden im Dienst (zum Beispiel Empfänger, Schutz, Ablauf, Integrationen) sowie Einzelweisungen in Textform.

(2) Hält Slayper eine Weisung für rechtswidrig, weist Slayper den Kunden unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

§ 3 Pflichten von Slayper

(1) Slayper gewährleistet, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind.

(2) Slayper trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 2 und passt sie dem Stand der Technik an. Das Schutzniveau darf dabei nicht sinken.

(3) Slayper unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO) sowie bei den Pflichten aus Art. 32 bis 36 DSGVO. Anfragen betroffener Personen, die Slayper erreichen, leitet Slayper unverzüglich an den Kunden weiter.

(4) Slayper meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

(5) Slayper führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

(6) Inhalte von Sendungen, Dateinamen, Nachrichten, Bezüge und Adressbücher werden auf den Geräten der Nutzer verschlüsselt. Slayper hat keinen Zugriff auf die Schlüssel und kann diese Inhalte nicht lesen. Pflichten von Slayper zur Herausgabe oder Berichtigung beziehen sich insoweit nur auf die verschlüsselten Daten.

§ 4 Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information der Empfänger und Hochladenden nach Art. 13 und 14 DSGVO. Slayper stellt dafür die Datenschutzerklärung für den Dienst bereit, auf die der Kunde verweisen kann.

(2) Der Kunde informiert Slayper unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(3) Nutzt der Kunde eine Integration in eigene Fachsoftware, ist er für die Verarbeitung der dorthin übermittelten Daten selbst verantwortlich (Anlage 1, Nr. 6).

§ 5 Unterauftragsverarbeiter

(1) Der Kunde genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter.

(2) Slayper informiert den Kunden mindestens 30 Tage vorab in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Kunde den Vertrag über die Nutzung von Slayper zum Zeitpunkt der Änderung kündigen.

(3) Slayper verpflichtet Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags und haftet für deren Einhaltung nach Art. 28 Abs. 4 DSGVO.

(4) Keine Unterauftragsverarbeitung sind Leistungen, die keine personenbezogenen Daten des Kunden betreffen, insbesondere die Verankerung von Fingerabdrücken der Nachweise über OpenTimestamps (Anlage 1, Nr. 5).

§ 6 Nachweise der Übertragung

(1) Slayper erstellt zu jeder Übertragung im Auftrag des Kunden einen Nachweis. Er dient ausschließlich der Dokumentation des Kunden, insbesondere seiner Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

(2) Nachweise werden zehn Jahre nach dem jeweiligen Ereignis automatisch gelöscht. Während der Vertragslaufzeit können sie weder vom Kunden noch von Slayper verändert oder vorzeitig gelöscht werden; das ist eine Weisung des Kunden im Sinne von § 2. Gesetzliche Löschpflichten bleiben unberührt.

(3) Nachweise belegen den Abruf und die vollständige, unveränderte Entschlüsselung von Dateien, nicht deren Kenntnisnahme durch eine bestimmte Person. Sie sind keine qualifizierten Vertrauensdienste im Sinne der eIDAS-Verordnung.

§ 7 Kontrollrechte

(1) Slayper stellt dem Kunden alle Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere eine aktuelle Beschreibung der Maßnahmen nach Anlage 2.

(2) Der Kunde kann Überprüfungen, einschließlich Inspektionen, selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen, nach rechtzeitiger Ankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebs. Die Rechenzentren der Unterauftragsverarbeiter werden über deren Nachweise und Zertifikate geprüft.

§ 8 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Vertrags über die Nutzung von Slayper.

§ 9 Löschung und Rückgabe

(1) Sendungen und Anforderungen werden nach den Fristen in Anlage 1, Nr. 4 automatisch gelöscht.

(2) Nach Ende der Nutzung stellt Slayper dem Kunden die Nachweise 30 Tage lang zum Herunterladen bereit (Art. 28 Abs. 3 lit. g DSGVO). Danach löscht Slayper alle Daten des Kunden: Konten, Sendungen, Anforderungen, Adressbücher und Nachweise. Einträge, die in Nachweisen anderer Kunden über Übertragungen mit dem Kunden entstanden sind, gehören zu deren Nachweis und werden dort nach deren Fristen gelöscht. Etwaige gesetzliche Aufbewahrungspflichten des Kunden (zum Beispiel § 257 HGB, § 147 AO) obliegen ab diesem Zeitpunkt dem Kunden.

§ 10 Schlussbestimmungen

(1) Änderungen und Ergänzungen bedürfen der Textform.

(2) Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes anderen Vereinbarungen vor.

(3) Es gilt deutsches Recht. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Gegenstand der Verarbeitung

1. Zweck

Bereitstellung des Dienstes: verschlüsselte Übertragung und Anforderung von Dateien, Zustellung in den Posteingang von Slayper-Konten, Bestätigung von Empfängern, Benachrichtigungen, Nachweise der Übertragung und Anbindung an Fachsoftware des Kunden.

2. Betroffene Personen

3. Datenarten

IP-Adressen werden nicht gespeichert. Zur Abwehr von Passwort-Raten werden sie höchstens 15 Minuten im Arbeitsspeicher gehalten.

4. Fristen

5. OpenTimestamps

Stündlich wird ein einziger Fingerabdruck (32 Byte) über alle neuen Nachweise an öffentliche OpenTimestamps-Server gesendet und in der Bitcoin-Blockchain verankert. Der Fingerabdruck enthält keine personenbezogenen Daten.

6. Integrationen

Auf Weisung des Kunden meldet Slayper Ereignisse an dessen Fachsoftware (Zeitpunkt, Art, Bezugskennung, E-Mail-Adresse und Browserangabe von Abrufenden, Empfängerliste, Anzahl und Größe der Dateien, Name und E-Mail-Adresse von Hochladenden, Schutz- und Ablaufangaben). Im eingebetteten Fenster übergibt Slayper der Fachsoftware Links samt Schlüssel, gegebenenfalls PINs sowie auf Wunsch des Nutzers entschlüsselte Dateien.

Anlage 2: Technische und organisatorische Maßnahmen

Vertraulichkeit

Integrität

Verfügbarkeit und Belastbarkeit

Datenminimierung und Löschung

Organisation

Anlage 3: Unterauftragsverarbeiter

Stand: 18.10.2026