1. Parteien, Geltungsbereich und Rollen
Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen Tatic ApS (CVR 42532940), Mejsevej 2, Hadbjerg, 8370 Hadsten, Dänemark, tätig unter dem Zweitnamen OpenBanking IO ApS („Auftragsverarbeiter“, „wir“, „uns“), und dem Geschäftskunden, der den Dienst nutzt („Verantwortlicher“, „Sie“).
Er gilt gemäß Artikel 28 DSGVO immer dann, wenn Sie Bankkonten verbinden, deren Kontoauszüge oder Transaktionen personenbezogene Daten enthalten (z. B. Namen von Zahlungspartnern, IBANs, Gehaltszahlungen oder Verwendungszwecke). Fragen: privacy@open-banking.io.
2. Art, Zweck und Dauer der Verarbeitung
Wir verarbeiten personenbezogene Daten ausschließlich zur Bereitstellung des Dienstes open-banking.io: Abruf von Konto- und Transaktionsdaten über PSD2-APIs während Synchronisierungen, Verschlüsselung sensibler Bankdaten unter Ihrem registrierten öffentlichen Schlüssel, Speicherung der resultierenden Datensätze und strukturellen Synchronisierungsmetadaten sowie deren Bereitstellung über die Webanwendung und die API.
Die Verarbeitung dauert an, solange Ihr Konto aktiv ist, und endet, wenn Sie ein einzelnes Bankkonto entfernen oder Ihr Benutzerkonto löschen.
3. Kategorien betroffener Personen und personenbezogener Daten
- Betroffene Personen: Kontoinhaber, Zahlungspartner, Kunden, Lieferanten und Mitarbeitende, deren Angaben in Ihren verbundenen Bankkonten und Kontoauszügen erscheinen, sowie autorisierte Nutzer Ihres Kontos.
- Personenbezogene Daten: Kontokennungen (IBAN, BBAN, Kontonummern), Namen von Kontoinhabern und Zahlungspartnern, Transaktionsbeträge, Verwendungszwecke und Zahlungsreferenzen (nach Registrierung unter Ihrem öffentlichen Schlüssel versiegelt) sowie strukturelle Metadaten für Synchronisierung, Deduplizierung und PSD2-Konformität (Bankkennung, Währung, Buchungs-/Valutadaten, verschlüsselte Sitzungs-/Konto-UIDs, PSU-IP-Adresse und User-Agent bei nutzerinitiierten Synchronisierungen sowie 90-tägige API- und Synchronisierungsprotokolle).
Bankzugangsdaten werden von uns niemals erhoben, eingesehen oder gespeichert.
4. Dokumentierte Weisungen und clientseitige Verschlüsselung
Wir verarbeiten personenbezogene Daten ausschließlich auf Ihre dokumentierte Weisung — nämlich Ihre Konfiguration und Nutzung des Dienstes und der API —, sofern wir nicht durch Unionsrecht oder dänisches Recht zu einer anderen Verarbeitung verpflichtet sind.
Sobald Sie einen öffentlichen ECDH-P-256-Schlüssel registrieren, werden über Enable Banking abgerufene sensible Bankdaten (Namen von Kontoinhabern und Zahlungspartnern, IBAN/BBAN, Beträge, Verwendungszwecke und rohes Bank-JSON) unter Ihrem öffentlichen Schlüssel (ephemeres ECDH P-256 + HKDF-SHA256 + AES-256-GCM) versiegelt, sodass wir diese Daten im Ruhezustand nicht entschlüsseln können, es sei denn, Sie aktivieren ausdrücklich für ein begrenztes Zeitfenster das temporäre Support-Debugging.
5. Vertraulichkeit und Sicherheitsmaßnahmen (Art. 32 DSGVO)
Alle von uns zum Zugriff auf die Infrastruktur befugten Personen sind zur Vertraulichkeit verpflichtet.
Wir treffen dem Risiko angemessene technische und organisatorische Maßnahmen:
- Ende-zu-Ende-Umschlagverschlüsselung unter Schlüsseln, die auf Ihren eigenen Geräten oder Systemen erzeugt und verwaltet werden
- TLS-1.2/1.3-Verschlüsselung für sämtliche Daten bei der Übertragung
- Hosting in nach ISO/IEC 27001:2022 zertifizierten EU-Rechenzentren mit strikten Kubernetes-Netzwerkrichtlinien und Least-Privilege-Zugriff
- Europäischer DDoS-Schutz, Web Application Firewall (WAF) und Rate-Limiting am Netzwerkrand
6. Genehmigte Unterauftragsverarbeiter
Sie erteilen die allgemeine schriftliche Genehmigung für folgende europäische Unterauftragsverarbeiter:
- Enable Banking Oy (Espoo, Finnland) — PSD2-Kontoinformationsdienstleister (AISP), beaufsichtigt durch die finnische Finanzaufsichtsbehörde (FIN-FSA).
- Hetzner (Hetzner Online GmbH / Hetzner Finland Oy, Deutschland und Finnland) — nach ISO/IEC 27001:2022 zertifiziertes Rechenzentrums-Hosting und Speicherung.
- Bunny.net (BunnyWay d.o.o., Ljubljana, Slowenien) — DDoS-Schutz, WAF, DNS und Edge-Netzwerk auf europäischer Infrastruktur.
- Stripe (Stripe Payments Europe, Ltd., Irland) — Zahlungsabwicklung und Rechnungsstellung.
Wir erlegen jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die mindestens dem Schutzniveau dieses AVV entsprechen, und haften für deren Einhaltung. Wir informieren Sie per E-Mail vor der Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters, sodass Sie durch Schließung Ihres Kontos vor Inkrafttreten der Änderung widersprechen können.
7. Datenspeicherung in der EU und Drittlandübermittlungen
Alle Bank- und Kontodaten werden ausschließlich innerhalb der Europäischen Union und des EWR (Deutschland, Finnland und europäische Edge-Infrastruktur) gespeichert und verarbeitet. Wir übermitteln Ihre Bankdaten nicht außerhalb der EU/des EWR.
8. Unterstützung, Meldung von Datenschutzverletzungen und Audits
Da Sie über die App und die API direkten Zugriff auf Ihre Bankdaten haben, können Sie Datensätze jederzeit selbst exportieren oder löschen. Unter Berücksichtigung der Art der Verarbeitung unterstützen wir Sie auf Anfrage an privacy@open-banking.io bei Betroffenenanfragen, Sicherheitsbewertungen und Datenschutz-Folgenabschätzungen (DSFA).
Wir benachrichtigen Sie unverzüglich — und spätestens innerhalb von 48 Stunden nach Bekanntwerden — über jede Verletzung des Schutzes personenbezogener Daten, die Ihr Konto betrifft, einschließlich der nach Artikel 33 DSGVO erforderlichen Angaben.
Wir stellen alle erforderlichen Informationen zum Nachweis der Einhaltung von Artikel 28 DSGVO zur Verfügung und ermöglichen Überprüfungen oder Audits nach angemessener vorheriger schriftlicher Ankündigung.
9. Löschung bei Vertragsende und anwendbares Recht
Das Trennen einer Bankverbindung widerruft die PSD2-Sitzung und beendet neue Synchronisierungen, während Ihre importierte Historie erhalten bleibt, bis Sie das Konto entfernen. Wenn Sie ein einzelnes Bankkonto entfernen oder Ihr Benutzerkonto löschen, werden die Konto- und Transaktionsdatensätze dauerhaft aus den aktiven Datenbanken gelöscht und innerhalb von 30 Tagen aus den Datenbanksicherungen entfernt (ausgenommen sind lediglich gesetzlich vorgeschriebene Rechnungs- und Buchhaltungsunterlagen nach dem dänischen Buchführungsgesetz sowie kurzlebige Betriebsprotokolle mit einer Aufbewahrungsfrist von höchstens 90 Tagen).
Dieser AVV unterliegt dänischem Recht; Gerichtsstand sind die dänischen Gerichte. Kontakt für alle Datenschutzfragen: privacy@open-banking.io.