Vertrag zur Auftragsverarbeitung

Stand 16.10.2026

Dieser Vertrag nach Art. 28 DSGVO gilt für Kunden des Pakets Scanner. Er wird mit der Buchung des Pakets Bestandteil des Vertrags über die Nutzung von Semafio, ohne dass es einer gesonderten Unterschrift bedarf. Auf Wunsch erhält der Kunde eine Fassung als PDF; eine Anfrage an datenschutz@semafio.com genügt.

1. Parteien und Gegenstand

Der Vertrag gilt zwischen dem Kunden als Verantwortlichem und der LEA Software UG (haftungsbeschränkt), c/o VERDURE GmbH, Hermannstr. 5A, 70178 Stuttgart (im Folgenden „Semafio“), als Auftragsverarbeiter.

Semafio prüft im Auftrag des Kunden dessen eingereichte Apps nach dem veröffentlichten Katalog. Dabei kann Semafio personenbezogene Daten verarbeiten, die die geprüfte App öffentlich ausliefert oder die im Bericht als Beleg für einen Befund stehen. Gegenstand dieses Vertrags sind nur diese Daten. Daten des Kunden selbst (Konto, Zahlung, Prüferlaubnis) verarbeitet Semafio als eigener Verantwortlicher nach der Datenschutzerklärung.

Die Laufzeit entspricht der Laufzeit des Pakets Scanner.

2. Art und Zweck der Verarbeitung, Datenarten, Betroffene

Art und Zweck: automatische Prüfung der App auf Sicherheit, Datenschutz, KI-Verordnung, Betrieb und Recht; Erstellung des Berichts mit Befunden, Belegen und Korrektur-Prompts; Bereitstellung als PDF und auf der privaten Prüfseite.

Arten von Daten, soweit sie in der App öffentlich ausgeliefert werden:

• Namen und Kontaktdaten, etwa im Impressum, in der Datenschutzerklärung oder im ausgelieferten Code,
• Kennungen und Zugangsschlüssel, die im ausgelieferten Code stehen,
• Namen und Eigenschaften von Cookies und Adressen von Anfragen an Drittanbieter,
• Datensätze aus öffentlich lesbaren Tabellen oder Dateien der App. Diese verarbeitet Semafio nur, um die Lesbarkeit festzustellen, höchstens kurzzeitig im Arbeitsspeicher, und speichert sie nicht.

Betroffene Personen: Beschäftigte und Ansprechpersonen des Kunden, Nutzer und Kunden der geprüften App sowie Personen, deren Daten die App öffentlich zugänglich macht.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Liefert eine App solche Daten ungeschützt aus, kann Semafio das nicht verhindern; Semafio speichert sie nicht und meldet nur den Befund.

3. Weisungen

Semafio verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, eine gesetzliche Pflicht verlangt etwas anderes; in diesem Fall teilt Semafio dem Kunden diese Pflicht vorher mit, soweit das Gesetz es nicht verbietet. Als Weisung gelten dieser Vertrag, die Prüferlaubnis und die Einstellungen des Kunden im Konto. Weitere Weisungen erteilt der Kunde in Textform. Hält Semafio eine Weisung für rechtswidrig, weist Semafio den Kunden darauf hin.

4. Pflichten von Semafio

• Alle Personen, die mit den Daten arbeiten, sind zur Vertraulichkeit verpflichtet.
• Semafio trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind, und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
• Semafio unterstützt den Kunden bei Anfragen betroffener Personen und bei seinen Pflichten nach Art. 32 bis 36 DSGVO, soweit die Informationen bei Semafio liegen.
• Semafio meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, möglichst innerhalb von 24 Stunden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
• Die Verarbeitung findet in der EU statt. Eine Verarbeitung in einem Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind und der Kunde vorher informiert wurde.

5. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz der Unterauftragsverarbeiter in Anlage 2 zu. Semafio verpflichtet sie vertraglich auf Pflichten, die diesem Vertrag entsprechen. Über die Hinzuziehung oder den Austausch eines Unterauftragsverarbeiters informiert Semafio den Kunden mindestens vier Wochen vorher in Textform. Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Kann Semafio dem Widerspruch nicht abhelfen, kann der Kunde das Paket zum Zeitpunkt der Änderung kündigen.

6. Nachweise und Kontrollen

Semafio stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind. Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann die Einhaltung nach angemessener Vorankündigung während der üblichen Geschäftszeiten überprüfen, ohne den Betrieb unverhältnismäßig zu stören. Vorrangig genügt eine Auskunft in Textform. Den Aufwand für Vor-Ort-Prüfungen kann Semafio angemessen in Rechnung stellen, es sei denn, die Prüfung ergibt einen Verstoß von Semafio.

7. Löschung und Rückgabe

Der Kunde kann Apps und damit alle zugehörigen Scans, Befunde und Berichte jederzeit selbst im Konto löschen und Berichte vorher als PDF exportieren. Nach Ende des Pakets bleiben die Daten im Konto gespeichert, bis der Kunde Apps oder Konto löscht oder Semafio in Textform zur Löschung anweist; Semafio löscht dann unverzüglich, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Das Protokoll der Prüferlaubnis betrifft Daten des Kunden selbst und richtet sich nach der Datenschutzerklärung.

8. Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Er reicht nur Apps ein, über die er verfügt oder für deren Prüfung er berechtigt ist, und informiert Semafio unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung bemerkt.

9. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO, im Übrigen gelten die Nutzungsbedingungen. Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen geht dieser Vertrag in Fragen des Datenschutzes vor. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen

Anlage 2: Unterauftragsverarbeiter

Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind:

• Stripe Payments Europe, Ltd. (Irland). Stripe wickelt nur die Zahlung für das Paket ab und handelt dabei als eigener Verantwortlicher. Daten aus geprüften Apps erhält Stripe nicht.
• OSV (osv.dev, betrieben von Google). An OSV werden nur Paketnamen und Versionen übermittelt, keine personenbezogenen Daten.