Auftragsverarbeitungsvertrag
Stand: 3. Oktober 2026
Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen, sobald der Kunde onMyTerms nutzt, um personenbezogene Daten seiner Endnutzer zu verarbeiten. Verantwortlicher ist der Kunde. Auftragsverarbeiterin ist die Aulara UG (haftungsbeschränkt), Durlacher Str. 6, 10715 Berlin.
1. Gegenstand und Dauer
Aulara speichert die vom Kunden freigegebenen Dokumentfassungen und die dazu gehörenden Einwilligungsnachweise. Dazu gehören Name oder E-Mail der betroffenen Person, Zeitpunkt, Dokumentversion, Umfang der Zustimmung, vom Kunden mitgegebene Kontextdaten und die technischen Nachweise nach Abschnitt 3.
Die Verarbeitung dauert für die Laufzeit des Nutzungsvertrags und endet mit Löschung oder Rückgabe nach Abschnitt 8.
2. Art und Zweck
Art der Verarbeitung: Speichern, Bereitstellen zum Abruf durch den Kunden, Versand einer vom Kunden ausgelösten Bestätigungsnachricht, Erstellen eines Nachweisdatensatzes und eines PDF mit den erfassten Angaben.
Zweck: Nachweis und Verwaltung der vom Kunden eingeholten Zustimmungen. Aulara nutzt diese Daten nicht für eigene Werbung.
3. Daten und betroffene Personen
Daten: Identifikations- und Kontaktdaten, Einwilligungsinhalt, optionale Kontextdaten des Kunden und technische Nachweise. Welche technischen Nachweise gespeichert werden, hängt davon ab, wie die Zustimmung ankommt.
- Zustimmung im Browser: IP-Adresse, ein Hash dieser IP-Adresse, der User-Agent und, soweit ermittelbar, das Land. Das Land wird aus der IP-Adresse oder aus einer Länderangabe des Hosters abgeleitet. Eine genaue Standortbestimmung erheben wir nicht.
- Bestätigung über einen E-Mail-Link: ein Hash der IP-Adresse und der User-Agent dieses Aufrufs. Die IP-Adresse selbst speichern wir bei diesem Weg nicht.
- Zustimmung, die der Server des Kunden mit dem API-Schlüssel sendet: keine IP-Adresse und kein Browser des Endnutzers. Gespeichert wird, dass diese Angaben nicht aus einem Browser stammen.
Nach Ablauf der vom Kunden gesetzten Frist anonymisieren wir IP-Adresse, Hash, User-Agent, Land und Kontextdaten. Zeitpunkt und Dokumentversion bleiben für den Nachweis erhalten.
Personen: Endnutzerinnen und Endnutzer des Kunden, deren Zustimmung der Kunde über onMyTerms einholt.
4. Pflichten von Aulara
Aulara verpflichtet sich nach Art. 28 Abs. 3 DSGVO:
- die Daten nur auf dokumentierter Weisung des Kunden zu verarbeiten, einschließlich einer Weisung zu Drittländern. Eine gesetzliche Pflicht teilt Aulara vor der Verarbeitung mit, soweit das Recht das nicht verbietet;
- Personen, die Zugriff haben, auf Vertraulichkeit zu verpflichten;
- die Maßnahmen nach Art. 32 DSGVO zu treffen, insbesondere Zugriffsschutz, Verschlüsselung auf dem Transportweg, getrennte Mandanten und Protokollierung von Bestätigungen;
- keine weitere Auftragsverarbeiterin ohne die Regeln in Abschnitt 5 einzusetzen;
- den Kunden bei Anfragen betroffener Personen zu unterstützen, soweit das mit den Mitteln der Plattform möglich ist;
- den Kunden bei Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen, soweit Aulara die nötigen Informationen hat;
- nach Ende der Leistung die Daten nach Wahl des Kunden zu löschen oder zurückzugeben, soweit keine gesetzliche Speicherpflicht besteht;
- die Informationen bereitzuhalten, die der Kunde zum Nachweis dieser Pflichten braucht, und Überprüfungen in angemessenem Umfang zu ermöglichen.
Hält Aulara eine Weisung für rechtswidrig, teilt sie das dem Kunden unverzüglich mit.
5. Weitere Auftragsverarbeiter
Der Kunde erteilt eine allgemeine Genehmigung für technische Unterauftragsverarbeiter, die Hosting der Anwendung und der Datenbank, Objektspeicher und Transaktions-E-Mail erbringen. Aulara informiert über geplante Wechsel so, dass der Kunde widersprechen kann. Die Liste mit Name, Land und Garantie ist unter hello@aulara.de abrufbar. Jedem weiteren Verarbeiter werden vertraglich dieselben Pflichten auferlegt. Aulara haftet gegenüber dem Kunden für deren Pflichtverletzungen nach Art. 28 Abs. 4 DSGVO.
Aulara betreibt keine eigene Schlüsselrotation. Die Speicherung liegt bei den Unterauftragsverarbeitern. Diese Vereinbarung behauptet nicht, dass sämtliche Systeme ausschließlich in der EU stehen.
6. Drittland
Übermittelt ein Unterauftragsverarbeiter Daten in ein Land ohne Angemessenheitsbeschluss, dürfen dafür nur die Garantien nach Art. 46 DSGVO verwendet werden, insbesondere Standardvertragsklauseln. Aulara nennt das Land und die Garantie in der Unterauftragsverarbeiterliste.
7. Weisungen
Weisungen erteilt der Kunde über die Plattform, insbesondere durch Einstellen einer Fassung, Auslösen einer Bestätigung und Setzen der Speicherfristen. Weitergehende Weisungen gehen an hello@aulara.de.
8. Löschung und Rückgabe
Nach Ende des Vertrags löscht Aulara die Auftragsdaten innerhalb von 30 Tagen, sofern der Kunde nicht vorher die Rückgabe in einem üblichen maschinenlesbaren Format verlangt und keine gesetzliche Pflicht zur Speicherung besteht.
9. Haftung
Für die Rechtmäßigkeit der Erhebung beim Endnutzer, die Inhalte der Dokumente und die gewählte Speicherfrist bleibt der Kunde verantwortlich. Die Haftung von Aulara gegenüber dem Kunden richtet sich nach den Allgemeinen Geschäftsbedingungen. Eine weitergehende Freizeichnung ist nicht vereinbart.