Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch Cortena B.V. im Auftrag ihrer Kunden im Zusammenhang mit der Cortena Plattform und den zugehörigen Diensten. Er ist Bestandteil des Abonnementvertrags zwischen Cortena und dem Kunden und wird durch Verweis in diesen Vertrag einbezogen.
Maßgeblich ist die Fassung, die am Datum des Inkrafttretens des jeweiligen Abonnementvertrags gilt. Cortena informiert die Kunden mindestens 30 Tage im Voraus schriftlich über wesentliche Änderungen.
Bei Fragen: compliance@cortena.ai · Datenschutzbeauftragte: Sharon Klaver · dpo@cortena.ai
1. Begriffsbestimmungen
Vertrag bezeichnet diesen Auftragsverarbeitungsvertrag einschließlich aller Anhänge, der Bestandteil des Abonnementvertrags zwischen Cortena und dem Kunden ist.
Verantwortlicher bezeichnet den Kunden, der über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.
Auftragsverarbeiter bezeichnet Cortena B.V., die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
Personenbezogene Kundendaten bezeichnet alle personenbezogenen Daten, die Cortena im Auftrag des Kunden gemäß dem Abonnementvertrag oder im Zusammenhang mit diesem verarbeitet.
Datenschutzgesetze bezeichnet die Datenschutz-Grundverordnung (EU) 2016/679 (DSGVO) sowie alle anwendbaren nationalen Durchführungsvorschriften in ihrer jeweils geänderten oder ersetzten Fassung.
Verletzung des Schutzes personenbezogener Daten bezeichnet eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung personenbezogener Kundendaten oder zum unbefugten Zugang zu diesen führt.
Unterauftragsverarbeiter bezeichnet jeden von Cortena beauftragten Dritten, der personenbezogene Kundendaten im Zusammenhang mit der Erbringung der Dienste verarbeitet.
Dienste bezeichnet die von Cortena im Rahmen des Abonnementvertrags bereitgestellte KI-Plattform für Finanzprozesse und die damit verbundenen Dienste.
EWR bezeichnet den Europäischen Wirtschaftsraum.
2. Verarbeitung personenbezogener Kundendaten
2.1 Dokumentierte Weisungen
Cortena verarbeitet personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden, sofern Cortena nicht aufgrund anwendbaren Rechts zu einer Verarbeitung verpflichtet ist. Der Abonnementvertrag bildet zusammen mit allen schriftlichen Weisungen des Kunden dessen dokumentierte Weisungen für die Zwecke dieses AVV.
2.2 Umfang und Zweck
Cortena verarbeitet personenbezogene Kundendaten ausschließlich zum Zweck der Bereitstellung und Aufrechterhaltung der im Abonnementvertrag beschriebenen Dienste. Cortena verarbeitet personenbezogene Kundendaten nicht zu anderen Zwecken. Dies umfasst insbesondere das Trainieren oder Verbessern von KI-Modellen, Benchmarking sowie die Entwicklung von Produkten oder Funktionen für andere Kunden.
2.3 Art der Verarbeitung
Die von Cortena ausgeführten Verarbeitungstätigkeiten umfassen: den Empfang und die Speicherung von Rechnungen und Finanzdokumenten, die Extraktion und Klassifizierung von Finanzdaten, die Synchronisierung mit Buchhaltungssystemen sowie damit verbundene betriebliche Unterstützungsleistungen.
2.4 Datenkategorien
Die von Cortena verarbeiteten personenbezogenen Kundendaten können Folgendes umfassen: Namen und Kontaktdaten von Beschäftigten, Auftragnehmern und Geschäftspartnern, Rechnungs- und Zahlungsdaten, Informationen zu Anbietern und Lieferanten sowie sonstige in den Dienst hochgeladene Finanzunterlagen.
2.5 Dauer
Cortena verarbeitet personenbezogene Kundendaten für die Dauer des Abonnementvertrags, sofern das anwendbare Recht keine längere Aufbewahrung vorschreibt.
3. Personal des Auftragsverarbeiters
Cortena stellt sicher, dass alle Personen mit Zugang zu personenbezogenen Kundendaten verbindlichen Vertraulichkeitsverpflichtungen unterliegen. Der Zugang zu personenbezogenen Kundendaten ist strikt auf diejenigen Personen beschränkt, die diesen zur Erbringung der Dienste benötigen. Cortena ergreift angemessene Maßnahmen, um die Zuverlässigkeit aller Beschäftigten, Auftragnehmer oder Unterauftragsverarbeiter sicherzustellen, die Zugang zu personenbezogenen Kundendaten haben.
4. Sicherheit
4.1 Technische und organisatorische Maßnahmen
Cortena setzt gemäß Artikel 32 DSGVO geeignete technische und organisatorische Maßnahmen um, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Zu diesen Maßnahmen gehören:
- Verschlüsselung von Daten bei der Übertragung (TLS) und im Ruhezustand (AES-256)
- Private Kubernetes-Infrastruktur, die auf Bare-Metal-Servern in Deutschland gehostet wird
- Strenge Zugriffskontrollen und Multi-Faktor-Authentifizierung für Produktionssysteme
- Web Application Firewall und regelmäßige externe Penetrationstests
- Automatisierte Codeprüfungen und Verfahren für einen sicheren Softwareentwicklungszyklus
- Zugriffskontrollen nach dem Prinzip der geringsten Berechtigung in allen internen Systemen
4.2 Risikobewertung
Bei der Bestimmung des angemessenen Schutzniveaus berücksichtigt Cortena die mit der Verarbeitung verbundenen Risiken. Dazu gehören insbesondere die Risiken einer unbeabsichtigten oder unrechtmäßigen Vernichtung, eines Verlusts, einer Veränderung, einer unbefugten Offenlegung personenbezogener Kundendaten oder eines unbefugten Zugangs zu diesen.
4.3 Aktualisierungen
Die Sicherheitsmaßnahmen werden regelmäßig überprüft und aktualisiert, wenn sich die Plattform weiterentwickelt und sich die Bedrohungslage verändert. Siehe auch Sicherheit und Hosting in der EU.
5. Unterauftragsverarbeitung
5.1 Genehmigte Unterauftragsverarbeiter
Der Kunde ermächtigt Cortena, Unterauftragsverarbeiter zur Unterstützung bei der Erbringung der Dienste zu beauftragen. Die aktuelle Liste der genehmigten Unterauftragsverarbeiter von Cortena ist in diesem Compliance-Center veröffentlicht. Siehe Unterauftragsverarbeiter.
5.2 Pflichten der Unterauftragsverarbeiter
Cortena verpflichtet jeden Unterauftragsverarbeiter zu Datenschutzpflichten, die den in diesem AVV festgelegten Pflichten im Wesentlichen gleichwertig sind. Cortena bleibt gegenüber dem Kunden für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters aus diesem AVV in vollem Umfang haftbar, soweit Cortena bei der Auswahl oder Überwachung dieses Unterauftragsverarbeiters nicht die gebotene Sorgfalt angewendet hat.
5.3 Änderungen bei Unterauftragsverarbeitern
Cortena informiert den Kunden mindestens 30 Tage im Voraus schriftlich über jede beabsichtigte Hinzunahme oder Ersetzung eines Unterauftragsverarbeiters. Widerspricht der Kunde einem neuen Unterauftragsverarbeiter aus berechtigten datenschutzrechtlichen Gründen, kann er den Widerspruch innerhalb von 30 Tagen nach der Benachrichtigung schriftlich erheben. Die Parteien verhandeln nach Treu und Glauben, um die Angelegenheit zu klären. Wird keine Einigung erzielt, kann jede Partei den betroffenen Teil der Dienste mit angemessener schriftlicher Frist kündigen.
6. Rechte betroffener Personen
6.1 Unterstützung
Unter Berücksichtigung der Art der Verarbeitung unterstützt Cortena den Kunden durch geeignete technische und organisatorische Maßnahmen dabei, seine Pflichten zur Beantwortung von Anträgen betroffener Personen zu erfüllen, die ihre Rechte nach den anwendbaren Datenschutzgesetzen ausüben. Dazu gehören die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.
6.2 Benachrichtigung über Anträge
Cortena benachrichtigt den Kunden unverzüglich, wenn Cortena einen Antrag einer betroffenen Person in Bezug auf personenbezogene Kundendaten erhält. Cortena beantwortet einen solchen Antrag nur auf dokumentierte Weisung des Kunden oder soweit dies nach anwendbarem Recht erforderlich ist.
7. Verletzung des Schutzes personenbezogener Daten
7.1 Benachrichtigung
Cortena benachrichtigt den Kunden unverzüglich, spätestens jedoch innerhalb von 72 Stunden, nachdem Cortena Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt hat, die personenbezogene Kundendaten betrifft. Die Benachrichtigung enthält, soweit verfügbar: eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen der Verletzung sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung.
7.2 Zusammenarbeit
Cortena arbeitet mit dem Kunden zusammen und ergreift angemessene Maßnahmen, um ihn bei der Untersuchung, Eindämmung und Behebung einer Verletzung des Schutzes personenbezogener Daten zu unterstützen.
8. Datenschutz-Folgenabschätzungen
Cortena unterstützt den Kunden in angemessenem Umfang bei Datenschutz-Folgenabschätzungen (DSFA) und vorherigen Konsultationen mit Aufsichtsbehörden, die der Kunde nach vernünftigem Ermessen gemäß Artikel 35 oder Artikel 36 DSGVO für erforderlich hält, sofern sich diese Bewertungen auf die Verarbeitung personenbezogener Kundendaten durch Cortena beziehen.
9. Löschung und Rückgabe personenbezogener Kundendaten
9.1 Bei Vertragsbeendigung
Bei Kündigung oder Ablauf des Abonnementvertrags löscht Cortena nach Wahl des Kunden innerhalb von 30 Tagen ab dem Datum der Vertragsbeendigung alle personenbezogenen Kundendaten oder gibt sie an den Kunden zurück. Diese Verpflichtung gilt für alle Kopien personenbezogener Kundendaten, die von Cortena und ihren Unterauftragsverarbeitern verarbeitet werden.
9.2 Gesetzliche Aufbewahrungspflichten
Cortena ist nicht zur Löschung personenbezogener Kundendaten verpflichtet, soweit das anwendbare Recht deren Aufbewahrung vorschreibt. In solchen Fällen benachrichtigt Cortena den Kunden und stellt sicher, dass die aufbewahrten Daten gemäß diesem AVV geschützt werden.
Siehe auch Datenlöschung.
10. Prüfungsrechte
10.1 Informationen und Zusammenarbeit
Cortena stellt dem Kunden auf angemessene schriftliche Anfrage alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung dieses AVV und des Artikels 28 DSGVO nachzuweisen.
10.2 Audits und Inspektionen
Cortena ermöglicht Audits einschließlich Inspektionen durch den Kunden oder einen vom Kunden beauftragten unabhängigen Prüfer und wirkt daran mit. Dabei gelten folgende Voraussetzungen: (a) eine angemessene schriftliche Vorankündigung von mindestens 30 Tagen, (b) die Durchführung der Audits während der üblichen Geschäftszeiten unter möglichst geringer Beeinträchtigung des Betriebs, (c) der Kunde trägt die Kosten, sofern das Audit keine wesentliche Nichteinhaltung durch Cortena ergibt.
10.3 Alternative Nachweise
Soweit Cortena über einschlägige Zertifizierungen Dritter verfügt oder unabhängige Sicherheitsprüfungen abgeschlossen hat, kann Cortena Prüfungsanfragen durch die Bereitstellung der entsprechenden Berichte oder Zertifizierungen erfüllen, soweit diese den Umfang der Prüfungsanforderungen des Kunden abdecken.
11. Internationale Datenübermittlungen
11.1 Verarbeitung im EWR
Cortena speichert und verarbeitet alle personenbezogenen Kundendaten innerhalb Deutschlands und des EWR. Hierfür nutzt Cortena eine von Hetzner Online GmbH (Deutschland) betriebene Infrastruktur. Im Rahmen der zentralen Hosting- und Verarbeitungsvorgänge von Cortena verlassen personenbezogene Kundendaten den EWR nicht.
11.2 Übermittlungen durch Unterauftragsverarbeiter
Bestimmte Unterauftragsverarbeiter können bei der Erbringung spezifischer Dienste begrenzte Datenmengen außerhalb des EWR verarbeiten. Soweit solche Übermittlungen stattfinden, stellt Cortena sicher, dass geeignete Garantien bestehen. Dazu gehören die EU-Standardvertragsklauseln (SCC) oder gleichwertige, von der Europäischen Kommission genehmigte Übermittlungsmechanismen.
Für den Empfang eingehender E-Mails wurde zuvor Postmark (Vereinigte Staaten) verwendet. Seit dem 10. September 2026 wird der Empfang eingehender E-Mails von Cortena selbst über receivehq.com gehostet und betrieben. Siehe Unterauftragsverarbeiter.
11.3 Keine unbefugten Übermittlungen
Cortena übermittelt personenbezogene Kundendaten nicht ohne vorherige schriftliche Zustimmung des Kunden in ein Land außerhalb des EWR, es sei denn, die Übermittlung ist nach anwendbarem Recht erforderlich oder durch einen gemäß Abschnitt 11.2 genehmigten Übermittlungsmechanismus abgedeckt.
12. Vertraulichkeit
Jede Partei behandelt diesen AVV sowie alle Informationen, die sie im Zusammenhang damit von der anderen Partei erhält, streng vertraulich. Dies gilt nicht, soweit eine Offenlegung nach anwendbarem Recht erforderlich ist oder die Informationen ohne Verletzung dieses AVV bereits öffentlich zugänglich sind.
13. Anwendbares Recht und Gerichtsstand
Dieser AVV unterliegt dem Recht der Niederlande. Alle Streitigkeiten im Zusammenhang mit diesem AVV unterliegen der ausschließlichen Zuständigkeit der zuständigen Gerichte in Amsterdam, Niederlande, entsprechend den Bestimmungen zum anwendbaren Recht im Abonnementvertrag.
Kontakt und Anfragen
E-Mail: compliance@cortena.ai
Datenschutzbeauftragte: Sharon Klaver · dpo@cortena.ai
Adresse: Cortena B.V., Stadhouderskade 5 - 6, 1054 ES Amsterdam, Niederlande · Impressum