Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag ("AVV") ist Bestandteil der Vereinbarung zwischen der Scanara UG (haftungsbeschränkt), vertreten durch ihren Geschäftsführer ("Auftragsverarbeiter", "wir", "uns") und der Kundenorganisation ("Verantwortlicher", "Sie") über die Nutzung der Scanara EU-AI-Act-Compliance-Plattform (der "Dienst").

Dieser AVV gilt, soweit und in dem Umfang, in dem Scanara im Rahmen der Erbringung des Dienstes personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, gemäß Artikel 28 der Datenschutz-Grundverordnung (EU) 2016/679 ("DSGVO").

1. Gegenstand der Verarbeitung

1.1 Gegenstand

Die Verarbeitung betrifft die Bereitstellung der Scanara-Compliance-Plattform, die Quellcode-Repositories und Dokumentationen auf Konformität mit dem EU AI Act analysiert. Eine Verarbeitung findet statt, wenn der Verantwortliche Repositories verbindet, Scans initiiert, Teammitglieder verwaltet und Compliance-Dokumentation erstellt.

1.2 Kategorien betroffener Personen

• Mitarbeiter und Auftragnehmer des Verantwortlichen, die den Dienst nutzen
• Dritte, deren personenbezogene Daten in gescannten Repositories oder Dokumentationen enthalten sein können (beiläufige Verarbeitung)

1.3 Arten personenbezogener Daten

• Kontodaten: Name, E-Mail-Adresse, Organisationsmitgliedschaft
• Authentifizierungsdaten: Identitätsmerkmale von SSO-Anbietern, Sitzungstoken
• Nutzungsdaten: Scan-Verlauf, Funktionsnutzung, Zeitstempel
• Repository-Metadaten und Scan-Ergebnisse: Repository-Namen, Dateipfade, Scan-Befunde einschließlich kurzer Quellcode-Auszüge (betroffene Zeilen samt unmittelbarem Kontext)
• Beiläufige Daten in gescanntem Code oder Dokumenten (z. B. Autorennamen, Kommentare mit personenbezogenen Daten)

1.4 Dauer

Die Verarbeitung erfolgt für die Dauer der Servicevereinbarung. Nach Beendigung werden personenbezogene Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht oder dokumentierte Weisungen des Verantwortlichen zur Aufbewahrung des Audit-Trails entgegenstehen. Audit-Trail-Aufzeichnungen werden nach Vertragsende anonymisiert, sodass kein Rückschluss auf den Verantwortlichen möglich ist (vgl. § 5a AGB). Die Frist von 30 Tagen entspricht zugleich der maximalen Übergangsfrist nach Art. 25 der Verordnung (EU) 2023/2854 (Data Act) und ermöglicht den Datenexport gemäß § 5b AGB. Nimmt der Verantwortliche die Wechselunterstützung nach § 5b AGB in Anspruch, verlängert sich die Aufbewahrung der exportierten Daten um den Abrufzeitraum von mindestens 30 Kalendertagen nach Ende der Übergangsfrist (Art. 25 Abs. 2 Data Act); die Löschung erfolgt unverzüglich nach Ablauf dieses Abrufzeitraums.

Auf schriftliche Anfrage des Verantwortlichen stellt Scanara innerhalb von 14 Tagen nach Abschluss der Löschung eine schriftliche Bestätigung der Datenlöschung aus.

2. Pflichten des Auftragsverarbeiters

Scanara verpflichtet sich als Auftragsverarbeiter:

• Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, sofern keine unionsrechtliche oder mitgliedstaatliche Rechtsvorschrift dies anderweitig erfordert. In einem solchen Fall teilt Scanara dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
• Den Verantwortlichen unverzüglich zu informieren, wenn Scanara der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt (Art. 28 Abs. 3 Satz 2 DSGVO).
• Sicherzustellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind. Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung dieses AVV fort.
• Soweit im gescannten Quellcode Geschäftsgeheimnisse Dritter i.S.d. § 2 Nr. 1 GeschGehG enthalten sind, verwendet Scanara diese ausschließlich zur Erfüllung des Auftrags. Eine Weitergabe an Dritte, Nutzung für eigene Geschäftszwecke oder Training von KI-Systemen erfolgt nicht (§ 4 Abs. 1 GeschGehG).
• Geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zu implementieren.
• Unterauftragsverarbeiter nur auf Grundlage einer allgemeinen Genehmigung und eines schriftlichen Vertrages zu beauftragen, der gleichwertige Datenschutzpflichten auferlegt.
• Den Verantwortlichen bei der Erfüllung seiner Pflichten hinsichtlich Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Vorabkonsultationen mit Aufsichtsbehörden zu unterstützen. Die Unterstützung bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und Vorabkonsultationen (Art. 36 DSGVO) umfasst insbesondere die Bereitstellung der Dokumentation der technischen und organisatorischen Maßnahmen, Auskünfte zur Art und zum Umfang der Verarbeitung sowie technische Stellungnahmen — jeweils innerhalb von 20 Werktagen nach schriftlicher Anfrage des Verantwortlichen. Unterstützungsleistungen, die über ein zumutbares Maß von 8 Stunden pro Kalenderjahr hinausgehen, kann Scanara nach vorheriger Ankündigung zu angemessenen, üblichen Sätzen in Rechnung stellen; gesetzliche Unterstützungspflichten bleiben hiervon unberührt.
• Nach Beendigung der Servicevereinbarung alle personenbezogenen Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben.
• Alle zur Nachweisführung erforderlichen Informationen bereitzustellen und Prüfungen zu ermöglichen.

2a. Dokumentierte Weisungen

Die dokumentierten Weisungen des Verantwortlichen an den Auftragsverarbeiter im Sinne des Art. 28 Abs. 3 lit. a DSGVO ergeben sich aus:

1. Den Allgemeinen Geschäftsbedingungen (AGB) des Anbieters in ihrer jeweils gültigen Fassung;
2. Der Leistungsbeschreibung (Service Description) in ihrer jeweils gültigen Fassung;
3. Der aktiven Nutzung der Plattformfunktionen durch den Verantwortlichen (insbesondere: Verbindung von Repositories, Auslösung von Scans, Verwaltung von Teammitgliedern, Erstellung von Compliance-Dokumentation);
4. Individuellen schriftlichen Weisungen des Verantwortlichen, soweit vereinbart.

Der Verantwortliche kann jederzeit weitergehende oder ändernde Weisungen in Textform erteilen. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, werden als Änderungsanfrage behandelt und können zusätzliche Kosten auslösen.

Weisungsberechtigt sind ausschließlich die vom Verantwortlichen in der Plattform als Organisations-Administratoren bzw. -Inhaber benannten Personen. Weisungen anderer Personen muss Scanara nicht befolgen und wird den Verantwortlichen über solche Weisungsversuche informieren.

2b. Löschung und Rückgabe

Der Auftragsverarbeiter löscht oder gibt sämtliche personenbezogenen Daten nach Beendigung des Auftrags innerhalb von 30 Tagen zurück und bestätigt die vollständige Löschung schriftlich binnen 14 Tagen nach Abschluss (Art. 28 Abs. 3 lit. g DSGVO). Bei Unterauftragsverarbeitern (§ 4) holt Scanara die Löschbestätigung aktiv ein und dokumentiert dies entsprechend (vgl. BGH, Urteil vom 11.11.2025 — VI ZR 396/24 — aktive Verifikation der Löschung erforderlich).

2c. Pflichten des Verantwortlichen

Der Verantwortliche ist im Rahmen dieses AVV allein verantwortlich für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Bestehen einer Rechtsgrundlage für die Verarbeitung personenbezogener Daten, die in den von ihm verbundenen Repositories und Dokumentationen enthalten sind, sowie für die Rechtmäßigkeit der von ihm erteilten Weisungen. Der Verantwortliche stellt sicher, dass die Verbindung von Repositories und die Auslösung von Scans nicht gegen Rechte Dritter oder gesetzliche Verarbeitungsverbote verstößt.

3. Technische und organisatorische Maßnahmen

Scanara implementiert folgende Maßnahmen zum Schutz personenbezogener Daten:

• Verschlüsselung: Alle Daten verschlüsselt im Ruhezustand (AES-256) und bei der Übertragung (TLS 1.2+).
• Zugriffskontrolle: Rollenbasierte Zugriffskontrolle mit mandantenfähiger Isolierung auf Anwendungs- und Datenbankebene. Jeder organisationsgebundene Datensatz ist mit einer organization_id verknüpft.
• Authentifizierung: AWS Cognito; Cognito unterstützt MFA (optional, Software-Token TOTP; Enforcing für Administratoren konfigurierbar), OIDC und SAML Enterprise-SSO.
• Infrastruktur: Gesamte Infrastruktur in AWS eu-west-1 (Dublin, Irland), verwaltet über Infrastructure as Code (Terraform). Keine Ad-hoc-Ressourcen.
• Secrets-Verwaltung: Alle Secrets in AWS Secrets Manager. Keine Klartextanmeldedaten im Anwendungscode oder in Konfigurationsdateien.
• Audit-Trail: Unveränderlicher, WORM-konformer Audit-Trail für alle compliance-relevanten Vorgänge.
• Protokollierung: Strukturierte Protokollierung ohne personenbezogene Daten in Logausgaben.
• Schwachstellenmanagement: Automatisiertes Dependency-Scanning und regelmäßige Sicherheitsbewertungen.
• Verfügbarkeit und Belastbarkeit: Automatisierte Datenbank-Backups mit definierten Aufbewahrungsfristen, Multi-AZ-fähige Infrastruktur und dokumentierte Wiederherstellungsverfahren zur raschen Wiederherstellung der Verfügbarkeit nach einem Zwischenfall (Art. 32 Abs. 1 lit. b, c DSGVO).
• Wirksamkeitsüberprüfung: Regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen (Art. 32 Abs. 1 lit. d DSGVO).
• Scan-Isolierung: Repository-Inhalte werden während des Scans ausschließlich transient im Arbeitsspeicher (RAM) der Scan-Lambda-Funktion verarbeitet; eine vollständige Kopie des Repositorys wird nicht persistiert. Gespeichert werden Scan-Ergebnisse (Befunde, Scores) einschließlich kurzer Quellcode-Auszüge (die betroffenen Zeilen samt unmittelbarem Kontext) als Bestandteil der Befunde; diese unterliegen den vereinbarten Speicherfristen. Eine darüber hinausgehende Persistierung von Code-Inhalten in Datenbanken, Object Storage oder Logdateien erfolgt nicht.

<!-- internal: Anlage 1 = docs/compliance/tom-annex-1-avv.md -->

Die vollständige, versionierte TOM-Liste sowie das AWS-Shared-Responsibility-Mapping sind in Anlage 1 zu diesem AVV dokumentiert und auf Anfrage erhältlich.

<!-- canonical sub-processor list: docs/compliance/legal-pages/sub-processors.md — keep in sync -->

4. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für die Beauftragung der nachfolgenden Unterauftragsverarbeiter. Scanara informiert den Verantwortlichen über beabsichtigte Änderungen der Unterauftragnehmer-Liste mindestens 30 Tage vor der Änderung. Der Verantwortliche hat das Recht, innerhalb dieser Frist in Textform (§ 126b BGB) begründete Einwände zu erheben.

Erhebt der Verantwortliche einen begründeten Einwand und können sich die Parteien nicht einigen, ist der Verantwortliche berechtigt, den Hauptvertrag mit einer Frist von 30 Tagen schriftlich außerordentlich zu kündigen. Bis zum Wirksamwerden der Kündigung erbringt Scanara den Dienst ohne den beanstandeten Unterauftragsverarbeiter, sofern dies technisch möglich ist.

Hinweis: Google Analytics (GA4) und Microsoft Clarity werden ausschließlich auf der Marketing-Website eingesetzt, erfordern die Einwilligung des Nutzers und verarbeiten keine Daten, die von diesem AVV erfasst werden. Stripe Payments Europe, Ltd. agiert als eigenständiger Verantwortlicher für Zahlungsdaten (kein Auftragsverarbeiter) und ist daher nicht Gegenstand dieses AVV.

5. Internationale Datenübermittlungen

Die gesamte primäre Datenverarbeitung findet innerhalb der EU (AWS eu-west-1, Dublin) statt. Soweit personenbezogene Daten an Unterauftragsverarbeiter außerhalb des EWR (GitHub) übermittelt werden, gelten folgende Garantien:

• Standardvertragsklauseln (SCC): Modul 3 (Auftragsverarbeiter an Unterauftragsverarbeiter) gemäß Beschluss (EU) 2021/914 der Europäischen Kommission.
• Ergänzende Maßnahmen: Verschlüsselung bei Übertragung und im Ruhezustand, Zugriffskontrollen und vertragliche Beschränkungen des Datenzugriffs durch Behörden in Drittländern.
• Transfer Impact Assessment: Auf Anfrage für jeden Unterauftragsverarbeiter verfügbar.

6. Anfragen betroffener Personen

Erhält Scanara eine Anfrage einer betroffenen Person bezüglich personenbezogener Daten, die im Auftrag des Verantwortlichen verarbeitet werden, leitet Scanara die betroffene Person unverzüglich an den Verantwortlichen weiter und informiert den Verantwortlichen über die Anfrage. Scanara unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen, soweit technisch möglich.

7. Meldung von Datenschutzverletzungen

Scanara meldet dem Verantwortlichen unverzüglich nach Bekanntwerden eine Verletzung des Schutzes personenbezogener Daten, die unter diesen AVV fallende Daten betrifft. Die Meldung enthält soweit zum Zeitpunkt der Meldung verfügbar: Art der Verletzung, betroffene Datenkategorien, ungefähre Anzahl betroffener Personen, voraussichtliche Folgen sowie bereits ergriffene oder geplante Maßnahmen zur Behebung. Soweit Informationen zum Zeitpunkt der Erstmeldung noch nicht vollständig verfügbar sind, werden diese unverzüglich nachgereicht.

Hinweis: Als Auftragsverarbeiter ist Scanara zur unverzüglichen Meldung an den Verantwortlichen verpflichtet. Die Pflicht des Verantwortlichen zur Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden gemäß Art. 33 DSGVO obliegt dem Verantwortlichen selbst.

8. Prüfungsrechte

Scanara stellt dem Verantwortlichen alle zur Nachweisführung der Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Prüfungen und Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer. Prüfungsankündigungen sind dem Verantwortlichen mindestens 10 Werktage im Voraus schriftlich mitzuteilen. Prüfungen sind während der üblichen Geschäftszeiten (Mo–Fr, 09:00–17:00 Uhr MEZ) durchzuführen, dürfen den Betrieb von Scanara nicht unverhältnismäßig beeinträchtigen und sind auf höchstens eine Prüfung pro Kalenderjahr begrenzt, sofern kein begründeter Anlass für eine außerordentliche Prüfung besteht.

Prüfungen werden vorrangig durch die Bereitstellung aussagekräftiger Dokumentation (insbesondere Anlage 1, TOM-Nachweise, vorhandene Prüfberichte oder Zertifizierungen) erfüllt; eine Vor-Ort-Prüfung erfolgt nur, soweit die bereitgestellte Dokumentation im Einzelfall nicht ausreicht. Ein beauftragter Prüfer darf kein Wettbewerber von Scanara sein und ist vor Beginn der Prüfung zur Vertraulichkeit zu verpflichten. Jede Partei trägt die ihr im Zusammenhang mit einer Prüfung entstehenden Kosten selbst.

9. Abschluss des AVV

Dieser AVV wird mit Annahme der AGB in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO) und gilt für alle Pläne, einschließlich kostenfreier Nutzung. Eines gesonderten Abschlusses bedarf es nicht.

Für B2B-Kunden der Team-, Business- oder Enterprise-Pläne ist zusätzlich ein unterzeichnetes Exemplar dieses AVV auf Anfrage erhältlich:

• E-Mail: support@scanara.io
• Reaktionszeit: Wir stellen den unterzeichneten AVV in der Regel innerhalb von 5 Werktagen bereit.
• Individuelle Ergänzungen: Enterprise-Kunden können individuelle AVV-Ergänzungen für spezifische regulatorische Anforderungen anfordern.

10. Haftung

Die Haftung von Scanara im Rahmen dieses AVV richtet sich nach den Haftungsregelungen in § 9 der AGB (Allgemeine Geschäftsbedingungen). Die dort vereinbarten Haftungsbegrenzungen und -ausschlüsse gelten entsprechend für alle Ansprüche, die aus oder im Zusammenhang mit diesem AVV entstehen, einschließlich Ansprüche wegen Verletzung datenschutzrechtlicher Pflichten, soweit dies nach anwendbarem Recht zulässig ist. Ansprüche aus diesem AVV und aus den AGB werden auf eine gemeinsame Haftungsobergrenze angerechnet; die Obergrenzen gelten nicht kumulativ.

Im Innenverhältnis der Parteien haftet jede Partei entsprechend ihrem Anteil an der Verantwortung für den Schaden (Rechtsgedanke des Art. 82 Abs. 5 DSGVO). Der Verantwortliche stellt Scanara von Ansprüchen Dritter frei, soweit diese darauf beruhen, dass (a) der Verantwortliche rechtswidrige Weisungen erteilt hat oder (b) personenbezogene Daten ohne ausreichende Rechtsgrundlage in die vom Verantwortlichen verbundenen Repositories oder Dokumentationen eingebracht wurden und Scanara diese weisungsgemäß verarbeitet hat.

Hinweis: Die Haftung nach Art. 82 DSGVO ist durch vertragliche Vereinbarungen nicht ausschließbar (zwingendes Recht). Die vorstehenden Haftungsbegrenzungen lassen Ansprüche betroffener Personen nach Art. 82 DSGVO gegen den Verantwortlichen oder den Auftragsverarbeiter unberührt.

11. Anwendbares Recht und Gerichtsstand

Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG). Anwendbare Datenschutzvorschriften der Europäischen Union, insbesondere die DSGVO und das BDSG, bleiben unberührt.

Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist München, sofern der Kunde Kaufmann im Sinne des HGB, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Für Kunden mit Sitz in einem anderen EU- oder EWR-Mitgliedstaat, die im Rahmen ihrer gewerblichen oder selbständigen beruflichen Tätigkeit handeln, gilt ebenfalls München als vereinbarter Gerichtsstand. Zwingende Verbraucherschutzrechte des jeweiligen Ansässigkeitsstaates innerhalb der EU bleiben durch diese Gerichtsstandsvereinbarung unberührt.

Der Vertrag kann gemäß § 3 AGB in deutscher oder englischer Sprache geschlossen werden. Englische Übersetzungen dienen ausschließlich der Information; im Streitfall ist die deutsche Fassung maßgeblich (§ 24 AGB).

12. Kontakt

Datenschutz-Ansprechpartner: support@scanara.io AVV-Anfragen: support@scanara.io Enterprise-Vertrieb: support@scanara.io