1. Parteien, Rollen und Vereinbarung
Dieser DPA wird elektronisch zwischen dem im Annahmeprotokoll bezeichneten Kunden und Martin Schrammel AB, 559591-7377, Björnsonsgatan 147, 168 43 Bromma, Schweden, geschlossen. martin@accessibilitypdf.com. Das Protokoll enthält den rechtlichen Namen, die Anschrift und das Land des Kunden, gegebenenfalls die Registernummer, die vertretende Person, Kontakt-E-Mail, Rolle, Annahmezeitpunkt und Dokumentversion. Diese Angaben vervollständigen den nachstehenden Anhang I. Der Anbieter bietet diesen DPA an, indem er ihn zusammen mit dem Annahmemechanismus bereitstellt. Die vertretende Person nimmt ihn für den Kunden durch aktives Ankreuzen eines nicht vorausgewählten Kontrollkästchens und Absenden an.
Der Kunde handelt als Verantwortlicher oder als Auftragsverarbeiter, der uns mit Zustimmung des Verantwortlichen als weiteren Auftragsverarbeiter beauftragt. Für personenbezogene Daten in Dokumenten handeln wir als Auftragsverarbeiter oder weiterer Auftragsverarbeiter. Für eigene Kontakt-, Vertrags-, Abrechnungs- und Sicherheitsunterlagen handeln wir nach der Datenschutzerklärung als Verantwortlicher. Nach der Annahme gilt der DPA sowohl für die kostenlose Bewertung als auch für bezahlte Leistungen.
2. Dokumentierte Weisungen
Wir verarbeiten Dokumentdaten ausschließlich auf dokumentierte Weisung: Speicherung, technische Extraktion, KI-gestützte Prüfung des Leistungsumfangs und regelbasierte Angebotserstellung, nach der Bestellung gefolgt von KI-gestützter barrierefreier Anpassung, Prüfung, Lieferung, Support und Löschung im Rahmen der vereinbarten Leistung. Wir nutzen sie nicht für Werbung, Modelltraining oder sachfremde Produktentwicklung. Das Upload-Protokoll, der Leistungsauftrag und spätere vereinbarte schriftliche Weisungen bilden die Weisungen.
Halten wir eine Weisung für einen Verstoß gegen geltendes Datenschutzrecht, informieren wir den Kunden unverzüglich und setzen die betroffene Verarbeitung bis zur Klärung aus. Ist eine andere Verarbeitung gesetzlich vorgeschrieben, informieren wir den Kunden vorher, sofern dies nicht aus wichtigen Gründen des öffentlichen Interesses gesetzlich untersagt ist.
3. Personen und Sicherheit
Nur befugte Personen mit einer Vertraulichkeitsverpflichtung dürfen auf Dokumentdaten zugreifen. Wir unterhalten geeignete technische und organisatorische Maßnahmen nach Artikel 32 DSGVO unter Berücksichtigung des Risikos, des Stands der Technik und der Art der Daten. Anhang II dokumentiert die Schutzmaßnahmen des Dienstes. Wir überprüfen regelmäßig Zugriffsrechte, testen Wiederherstellung und Löschung und beheben Schwachstellen. Während eines laufenden Auftrags verringern wir das Schutzniveau nicht wesentlich.
4. Weitere Auftragsverarbeiter
Der Kunde erteilt eine allgemeine schriftliche Genehmigung für die Anbieter und Zwecke im angenommenen Anhang III. Wir verpflichten diese zu einem Datenschutz, der die nach Artikel 28 erforderlichen Schutzpflichten erfüllt, und bleiben für die Erfüllung dieser Pflichten verantwortlich. Über geplante Ergänzungen oder Ersetzungen, die Dokumentdaten betreffen, informieren wir mindestens 30 Tage im Voraus an die im Vertrag angegebene Kontakt-E-Mail und ermöglichen einen begründeten datenschutzrechtlichen Widerspruch.
Wir arbeiten mit dem Kunden an einer Lösung, nutzen eine zumutbare Alternative oder ermöglichen die kostenfreie Beendigung betroffener, noch nicht abgeschlossener Leistungen und die Erstattung vorausbezahlter, noch nicht gelieferter Teile. Solange der Widerspruch ungeklärt ist, übermitteln wir seine Daten nicht an den strittigen neuen Anbieter. Bei Änderungen von Anbieterverträgen mit kürzerer Ankündigung müssen wir betroffene Verarbeitungen aussetzen, wenn wir diese Zusage sonst nicht einhalten können. Eine neue Liste auf der Website allein ersetzt die Mitteilung an bestehende Kunden nicht.
5. Internationale Übermittlungen
Der Dienst verspricht keine ausschließlich im EWR stattfindende Verarbeitung. Genehmigte Anbieter können Daten in den USA und weiteren in Anhang III genannten Ländern verarbeiten. Vor einer Übermittlung, für die besondere Voraussetzungen gelten, schaffen wir eine anwendbare Angemessenheitsgrundlage oder vereinbaren die einschlägigen EU-Standardvertragsklauseln von 2021 (SCC), vervollständigen die erforderlichen Anhänge und bewerten gegebenenfalls das Zielland und ergänzende Maßnahmen. Auf Anfrage stellen wir Informationen über die geltenden Garantien sowie eine Kopie oder Bezugsmöglichkeit bereit, mit angemessenen Schwärzungen zum Schutz anderer Kunden oder der Sicherheit.
Das Kontrollkästchen beim Upload stellt keine Einwilligung nach Artikel 49 DSGVO dar und kann eine sonst rechtswidrige Übermittlung nicht rechtmäßig machen. Das Verhältnis zwischen Kunde und Anbieter im EWR unterliegt diesem DPA nach Artikel 28. Erfordert eine Weiterübermittlung SCC, müssen der betreffende Datenexporteur und Datenimporteur an das anwendbare Modul gebunden sein, einschließlich Modul 3 für Übermittlungen zwischen Auftragsverarbeitern, oder es muss eine gültige Angemessenheitsgrundlage bestehen. Kein individuell formulierter SCC-Text in diesen Bedingungen ersetzt die Klauseln der Kommission.
6. Unterstützung und Vorfälle
Unter Berücksichtigung der Art der Verarbeitung unterstützen wir den Kunden bei Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit sowie Widersprüchen und bei Sicherheitsverpflichtungen, Folgenabschätzungen und vorherigen Konsultationen nach den Artikeln 32–36. Direkt von betroffenen Personen erhaltene Anträge leiten wir unverzüglich weiter und beantworten sie nicht im Namen des Kunden, sofern wir dazu nicht angewiesen oder gesetzlich verpflichtet sind.
Sobald uns eine Verletzung des Schutzes personenbezogener Daten des Kunden bekannt wird, benachrichtigen wir ihn unverzüglich. Die erste Mitteilung wird nicht aufgeschoben, bis alle Fakten vorliegen. Soweit verfügbar, übermitteln wir Art der Verletzung, Kategorien und ungefähre Zahl betroffener Personen und Datensätze, Kontaktdaten, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und Aktualisierungen. Wir sichern erforderliche Nachweise, unterstützen bei der Schadensbegrenzung und bei Benachrichtigungen durch den Kunden und dokumentieren unsere Reaktion.
7. Informationen, Prüfungen und Kosten
Wir stellen die erforderlichen Informationen zum Nachweis der Einhaltung dieses DPA bereit und ermöglichen und unterstützen Prüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten unabhängigen Prüfer. Soweit ausreichend, können vorhandene Berichte genutzt werden. Angemessene Vorankündigung, Vertraulichkeit und der Schutz anderer Kunden gelten, ohne wirksame Prüfungen, dringende Vorfallprüfungen oder behördlichen Zugang zu verhindern. Übliche Unterstützung und Nachweise sind enthalten. Angemessene Kosten für außergewöhnliche, vom Kunden gewünschte Arbeiten vereinbaren wir im Voraus; wegen unserer eigenen Pflichtverletzung erforderliche Unterstützung ist kostenlos.
8. Rückgabe, Löschung und Dauer
Dieser DPA beginnt mit der Annahme und gilt, solange wir oder unsere weiteren Auftragsverarbeiter Dokumentdaten des Kunden verarbeiten. Bei Beendigung kann der Kunde Rückgabe oder Löschung verlangen; üblicher Rückgabeweg ist die Bereitstellung zum Download. Dokumente ohne Auftrag laufen nach 24 Stunden ab und werden im nächsten Wartungszyklus gelöscht. Nicht verifizierte Aufträge laufen nach sieben Tagen ab; stornierte Aufträge werden innerhalb eines Tages nach der Stornierung entfernt. Unbezahlte Vorschauen laufen nach 30 Tagen ab; Dokumente bezahlter Aufträge 30 Tage nach Zahlung.
Wir löschen aktive Dienstkopien und weisen die betreffenden Anbieter an, ihre Kopien zu löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Isolierte Sicherungskopien und Sicherheitsaufzeichnungen von Anbietern können für deren dokumentierte, begrenzte Aufbewahrungsfrist fortbestehen, ausschließlich für diesen Zweck und mit kontrolliertem Zugriff; wesentliche Ausnahmen legen wir offen und bestätigen die Löschung auf Anfrage. Lokale Arbeitskopien werden nach jedem Auftrag entfernt, auch bei fehlgeschlagenen Aufträgen. Eine Aufbewahrung zur Beweissicherung muss konkret, dokumentiert und begrenzt sein; aufbewahrte Daten dürfen nicht anderweitig genutzt werden. Die in der Datenschutzerklärung beschriebenen getrennten Vertrags- und Finanzunterlagen rechtfertigen keine Aufbewahrung der Dokumentinhalte.
Anhang I — Angaben zur Verarbeitung
Gegenstand: hochgeladene geschäftliche PDFs und daraus abgeleitete Inhalte, barrierefreie PDFs, Seitenproben und Prüfberichte. Zweck: kostenloses Angebot und beauftragte Barrierefreiheitsleistung. Art: Empfang, Speicherung, Extraktion, Analyse, Strukturierung, Textalternativen, Vergleich, Prüfung, Übermittlung und Löschung. Häufigkeit: je hochgeladenem Dokument und Auftrag. Dauer: gemäß Abschnitt 8.
Betroffene Personen: Verfassende, Beschäftigte, Geschäftskontakte, Kunden, Lieferanten, Amtsträger und in üblichen geschäftlichen Veröffentlichungen genannte Personen. Datenarten: Namen, berufliche Kontaktdaten, Funktionen, Zugehörigkeiten, Unterschriften in üblichen geschäftlichen Veröffentlichungen sowie beiläufig in Dokumenten enthaltene berufliche biografische Angaben. Besondere Datenkategorien, Straftatendaten und sonstige nach den Leistungsbedingungen ausgeschlossene Daten sind nicht zugelassen. Falls die vorgesehenen Personengruppen oder Datenkategorien darüber hinausgehen, kontaktieren Sie uns vor dem Upload für eine vereinbarte Ergänzung.
Das Annahmeprotokoll identifiziert den Kunden, seine vertretende Person und seine Rolle nach der DSGVO. Anbieter ist Martin Schrammel AB mit den Kontaktdaten aus Abschnitt 1. Weisungen sowie Rechte und Pflichten des Kunden sind in den Abschnitten 2 und 6–8 und den Leistungsbedingungen beschrieben.
Anhang II — Technische und organisatorische Maßnahmen
- HTTPS für Kunden- und Dienstverbindungen. Speicherung von Dokumenten in privatem Objektspeicher mit autorisiertem Zugriff; kein öffentlicher Dokument-Bucket und keine dauerhaft öffentliche Download-URL.
- Serverseitige Prüfung der Zuordnung; gehashte zufällige Zugangsdaten, zeitlich begrenzte E-Mail-Verifizierungslinks und HttpOnly-Sitzungscookies. Getrennte Zugangsdaten für Administration und Produktionsprozesse.
- Upload-Grenzen, serverseitige Format- und Seitenprüfungen, Anfrageratenbegrenzung und Same-Origin-Prüfungen für verändernde Browseranfragen. Dokumentinhalte gelten als nicht vertrauenswürdige Eingaben.
- Zeitlich begrenzte Reservierungen in der Warteschlange und versuchsspezifische Artefakte verhindern, dass veraltete Verarbeitungsläufe Dateien freigeben. Vor Auslieferung vollständiger Dateien wird die Zahlung über einen verifizierten Webhook des Anbieters bestätigt.
- Technische Validierung, unabhängige KI-Prüfung und dokumentierte Freigabe durch einen Menschen. Für semantische Barrierefreiheit bleibt menschliche Prüfung erforderlich.
- Definierte Ablaufzeiten und geplante Löschung; temporäre lokale Arbeitsverzeichnisse werden nach jedem Auftrag entfernt. Anbieterinterne Unterhaltungen und verbleibende Aufbewahrung folgen dokumentierten Löschanweisungen.
- Vertraulichkeit, Zugriff mit minimal erforderlichen Rechten, Vorfallmanagement, Anbieterprüfungen und Kontrolle der Kontoeinstellungen. Es wird weder eine ISO-27001-Zertifizierung noch eine SOC-2-Attestierung von AccessibilityPDF behauptet.
Diese Maßnahmen gelten in angemessenem Verhältnis zur vereinbarten Verarbeitung. Wesentliche Änderungen oder zusätzliche Anforderungen müssen vor der betroffenen Verarbeitung vereinbart werden.
Anhang III — Anbieter und Garantien für Übermittlungen
Das Verzeichnis weiterer Auftragsverarbeiter und Übermittlungen unter /de/subprocessors ist Bestandteil dieses DPA. Sein vollständig angenommener Wortlaut ist in der herunterladbaren Vertragskopie enthalten, damit spätere Website-Änderungen die angenommene Liste nicht verändern. Anbieter erhalten nur die für die jeweilige Aufgabe erforderlichen Daten; Zahlungs- und E-Mail-Anbieter benötigen die PDF-Inhalte nicht. OpenAI unterstützt die Prüfung des Leistungsumfangs vor einem Festpreisangebot sowie die barrierefreie Bearbeitung und Prüfung nach einer Bestellung. Programmcode berechnet den vorläufigen Preis und die Beträge des Festpreisangebots. Anthropic kann vom Betreiber zur unterstützten Anpassung innerhalb desselben vertraglichen Umfangs genutzt werden.