Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

Stand: 18. August 2026

Vertragsparteien

Auftraggeber (Verantwortlicher):

Firma: ____________________________________________
Anschrift: ________________________________________
Vertreten durch: __________________________________

– nachfolgend „Verantwortlicher“ –

Auftragnehmer (Auftragsverarbeiter):

Atmos GmbH
Düsseldorfer Str. 26, 51379 Leverkusen-Opladen
Amtsgericht Köln, HRB 123975
Vertreten durch den Geschäftsführer Sascha Blum
Kontakt Datenschutz: privacy@tracyn.io

– nachfolgend „Auftragsverarbeiter“ –

– gemeinsam die „Parteien“ –

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen auf Grundlage des zwischen den Parteien geschlossenen Vertrages über die Nutzung der Software-as-a-Service-Anwendung Tracyn (nachfolgend „Hauptvertrag“). Im Rahmen dieser Leistungserbringung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen.

(2) Als Hauptvertrag gilt auch die Bereitstellung des Dienstes im Rahmen einer kostenlosen Testphase nach § 4 der AGB. Dieser Vertrag wird mit der Bestellung beziehungsweise mit der Registrierung zur Testphase in Textform einbezogen und bedarf keiner gesonderten Unterzeichnung; die Unterschriftenfelder am Ende dieses Vertrages dienen der optionalen Dokumentation.

(3) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO. Er geht dem Hauptvertrag in datenschutzrechtlichen Fragen vor.

(4) Gegenstand, Art und Zweck der Verarbeitung, die Art der verarbeiteten personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage 1 in Verbindung mit der Konfiguration des Dienstes durch den Verantwortlichen (§ 2 Absatz 2).

(5) Die Dauer dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Eine Kündigung dieses Vertrages ohne gleichzeitige Kündigung des Hauptvertrages ist ausgeschlossen.

(6) Kunden, die selbst Auftragsverarbeiter sind: Ist der Verantwortliche hinsichtlich der verarbeiteten Daten selbst Auftragsverarbeiter eines Dritten – etwa als Agentur für seine Mandanten –, gilt dieser Vertrag entsprechend mit der Maßgabe, dass der Auftragsverarbeiter als weiterer Auftragsverarbeiter im Sinne des Art. 28 Abs. 4 DSGVO tätig wird. Der Verantwortliche sichert zu, dass er zur Erteilung der Weisungen und zur Beauftragung des Auftragsverarbeiters berechtigt ist.

(7) Nicht Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter in eigener Verantwortung vornimmt – insbesondere die Verarbeitung von Nutzerkonto-, Support-, Kommunikations- und Abrechnungsdaten. Hierüber informiert die Datenschutzerklärung unter /datenschutz.

§ 2 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung in Drittländer. Eine Ausnahme gilt, wenn der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Konfiguration des Dienstes durch den Verantwortlichen in der Anwendung – insbesondere die Auswahl der erhobenen Ereignisse, der angebundenen Plattformen, der Datenempfänger und der Aufbewahrungsfristen – gilt als dokumentierte Weisung im Sinne des Absatzes 1.

(3) Weisungen, die über die Konfiguration in der Anwendung hinausgehen, sind in Textform an privacy@tracyn.io zu richten. Mündlich erteilte Weisungen sind unverzüglich in Textform zu bestätigen.

(4) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, hat er den Verantwortlichen unverzüglich darauf hinzuweisen. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis diese vom Verantwortlichen bestätigt oder geändert wird.

(5) Weisungsberechtigt auf Seiten des Verantwortlichen sind die im Nutzerkonto als administrationsberechtigt hinterlegten Personen sowie die dem Auftragsverarbeiter in Textform benannten Ansprechpartner. Der Verantwortliche informiert über Änderungen unverzüglich.

(6) Anonymisierung: Der Verantwortliche weist den Auftragsverarbeiter an, die im Auftrag verarbeiteten Daten zu aggregieren und zu anonymisieren, sodass ein Personenbezug nach dem Stand der Technik nicht mehr hergestellt werden kann. Der Auftragsverarbeiter ist berechtigt, die so erzeugten anonymen Daten für die Verbesserung und Weiterentwicklung des Dienstes sowie für Statistiken zu verwenden. Eine Verwendung der im Auftrag verarbeiteten personenbezogenen Daten zum Training von KI- oder Machine-Learning-Modellen findet nicht statt.

§ 3 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

(1) Vertraulichkeit: sicherzustellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und sie mit den einschlägigen datenschutzrechtlichen Vorgaben vertraut zu machen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO);

(2) Datensicherheit: die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 2 vor Beginn der Verarbeitung umzusetzen und während der Vertragslaufzeit aufrechtzuerhalten. Der Auftragsverarbeiter darf die Maßnahmen fortentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird; wesentliche Änderungen sind zu dokumentieren;

(3) Unterstützung bei Betroffenenrechten: den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Kapitel III der DSGVO zu unterstützen (Art. 28 Abs. 3 lit. e DSGVO);

(4) Unterstützung bei Compliance-Pflichten: den Verantwortlichen bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO zu unterstützen, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 28 Abs. 3 lit. f DSGVO). § 6 Absatz 3 gilt entsprechend;

(5) Verzeichnis: ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen;

(6) Nachweise: dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung zu stellen und Überprüfungen nach § 7 zu ermöglichen;

(7) Kontaktstelle: eine Kontaktstelle für Datenschutzanfragen zu benennen. Diese ist unter privacy@tracyn.io erreichbar;

(8) Verarbeitungsorte: die Verarbeitung ausschließlich in den in Anlage 3 genannten Verarbeitungsorten vorzunehmen. Eine Änderung der Verarbeitungsorte richtet sich nach § 5 Absätze 3 und 4 sowie nach § 10;

(9) Berichtigung und Löschung: personenbezogene Daten nur auf Weisung des Verantwortlichen zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken, soweit nicht dieser Vertrag oder die Konfiguration nach § 2 Absatz 2 etwas anderes vorsehen.

§ 4 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Beurteilung der Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen allein verantwortlich.

(2) Der Verantwortliche stellt insbesondere sicher, dass

• a) für die Verarbeitung eine wirksame Rechtsgrundlage nach Art. 6 DSGVO besteht und die nach § 25 TDDDG erforderlichen Einwilligungen vorliegen;
• b) betroffene Personen nach Art. 13 und 14 DSGVO informiert werden, insbesondere über die Übermittlung an Werbe- und Shop-Plattformen;
• c) Einwilligungen, Widerrufe und Widersprüche technisch an den Dienst übergeben und dort abgebildet werden;
• d) keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO und keine Daten von Kindern unter 16 Jahren an den Dienst übermittelt werden.

(3) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

(4) Der Verantwortliche ist verpflichtet, im Fall einer Verletzung des Schutzes personenbezogener Daten die Meldepflichten nach Art. 33 und 34 DSGVO zu erfüllen.

§ 5 Unterauftragsverhältnisse

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit die allgemeine schriftliche Genehmigung im Sinne des Art. 28 Abs. 2 Satz 1 DSGVO zum Einsatz weiterer Auftragsverarbeiter (Unterauftragsverarbeiter).

(2) Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und unter /subprozessoren abrufbar. Der Verantwortliche genehmigt deren Einsatz mit Abschluss dieses Vertrages.

(3) Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Verantwortlichen hierüber mindestens 30 Tage im Voraus in Textform.

(4) Der Verantwortliche kann der beabsichtigten Änderung innerhalb von 14 Tagen nach Zugang der Mitteilung aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Der Widerspruch ist zu begründen. Lässt sich der Widerspruch nicht einvernehmlich ausräumen, ist der Verantwortliche berechtigt, den Hauptvertrag hinsichtlich der betroffenen Leistung außerordentlich zu kündigen. Erfolgt kein Widerspruch innerhalb der Frist, gilt die Änderung als genehmigt.

(5) Der Auftragsverarbeiter verpflichtet den Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, wie sie in diesem Vertrag festgelegt sind, insbesondere auf die Gewährleistung hinreichender Garantien nach Art. 28 Abs. 1 DSGVO. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für dessen Verhalten (Art. 28 Abs. 4 Satz 2 DSGVO).

(6) Nicht als Unterauftragsverhältnisse im Sinne dieser Regelung gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt und die keine Verarbeitung personenbezogener Daten des Verantwortlichen zum Gegenstand haben, etwa Telekommunikationsdienstleistungen, Reinigung oder Wartung ohne Datenzugriff.

(7) Die Übermittlung an Werbe- und Shop-Plattformen auf Weisung des Verantwortlichen (Anlage 1 Ziffer 6) stellt kein Unterauftragsverhältnis dar, sondern eine Übermittlung an einen eigenständigen Empfänger. Die datenschutzrechtliche Verantwortung hierfür trägt der Verantwortliche.

§ 6 Betroffenenrechte

(1) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, es sei denn, der Verantwortliche weist ihn hierzu an.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs-, Widerspruchs- und Datenübertragbarkeitsanträgen. Der Dienst stellt hierfür Such-, Export- und Löschfunktionen bereit.

(3) Übersteigt der Unterstützungsaufwand die im Dienst bereitgestellten Funktionen erheblich, kann der Auftragsverarbeiter eine angemessene Vergütung nach seinen jeweils gültigen Stundensätzen verlangen. Er weist den Verantwortlichen hierauf vorab hin. Dies gilt nicht, soweit der Aufwand auf einem vom Auftragsverarbeiter zu vertretenden Umstand beruht.

§ 7 Nachweise und Kontrollrechte

(1) Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag durch geeignete Nachweise nach. Als Nachweis kommen insbesondere in Betracht: die Dokumentation der technischen und organisatorischen Maßnahmen nach Anlage 2, aktuelle Testate, Zertifizierungen oder Berichte unabhängiger Prüfstellen sowie geeignete Selbstauskünfte.

(2) Darüber hinaus kann der Verantwortliche die Einhaltung dieses Vertrages durch Überprüfungen kontrollieren oder durch einen von ihm beauftragten Prüfer kontrollieren lassen. Der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein und ist zur Verschwiegenheit zu verpflichten.

(3) Vor-Ort-Kontrollen sind mit einer Vorankündigung von mindestens 20 Werktagen, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen. Sie sind auf eine Kontrolle je Kalenderjahr beschränkt. Besteht ein besonderer Anlass – etwa eine Verletzung des Schutzes personenbezogener Daten oder eine Anordnung der Aufsichtsbehörde –, kann eine zusätzliche Kontrolle mit einer Vorankündigung von fünf Werktagen durchgeführt werden.

(4) Der Auftragsverarbeiter kann eine angemessene Vergütung für den durch Vor-Ort-Kontrollen entstehenden Aufwand verlangen, sofern die Kontrolle nicht durch einen vom Auftragsverarbeiter zu vertretenden Umstand veranlasst ist.

(5) Der Auftragsverarbeiter ist berechtigt, den Zugang zu Räumlichkeiten, Systemen und Unterlagen zu beschränken, soweit dies zum Schutz von Geschäftsgeheimnissen oder von Daten anderer Kunden erforderlich ist. Er stellt sicher, dass die Überprüfung trotz dieser Beschränkungen wirksam durchgeführt werden kann, insbesondere durch geschwärzte Unterlagen, aggregierte Nachweise oder die Einschaltung eines zur Verschwiegenheit verpflichteten Prüfers.

§ 8 Verletzung des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, in der Regel innerhalb von 48 Stunden nach Bekanntwerden, über jede Verletzung des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betrifft (Art. 33 Abs. 2 DSGVO).

(2) Die Mitteilung enthält, soweit verfügbar: eine Beschreibung der Art der Verletzung, die betroffenen Datenkategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Sind noch nicht alle Informationen verfügbar, erfolgt die Mitteilung schrittweise.

(3) Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und unterstützt den Verantwortlichen bei der Erfüllung von dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

(4) Meldungen an die Aufsichtsbehörde oder an betroffene Personen nimmt der Auftragsverarbeiter nicht eigenständig vor, es sei denn, er ist hierzu gesetzlich verpflichtet.

§ 9 Löschung und Rückgabe

(1) Nach Beendigung der Verarbeitungsleistungen löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen an diesen zurück (Art. 28 Abs. 3 lit. g DSGVO).

(2) Der Verantwortliche teilt seine Wahl spätestens bis zum Ende des Hauptvertrages in Textform mit. Trifft er keine Wahl, erfolgt die Löschung.

(3) Die Fristen für Datenabruf und Löschung richten sich nach § 10 und § 10a der AGB. Nach Ablauf des dort geregelten Abrufzeitraums erfolgt die Löschung. Die Löschung aus Sicherungskopien erfolgt im Rahmen der regulären Rotationszyklen, längstens innerhalb von 90 Tagen; bis dahin sind die Daten für alle anderen Zwecke gesperrt.

(4) Eine Aufbewahrung über die vorgenannten Fristen hinaus erfolgt nur, soweit eine gesetzliche Aufbewahrungspflicht nach dem Recht der Union oder eines Mitgliedstaats besteht. Die betroffenen Daten werden für alle anderen Zwecke gesperrt.

(5) Die Löschung wird dem Verantwortlichen auf Anforderung in Textform bestätigt.

§ 10 Verarbeitung in Drittländern

(1) Die Verarbeitung der Ereignis-, Auswertungs- und Endkundendaten findet ausschließlich innerhalb der Europäischen Union statt, im Regelfall in der Region Frankfurt am Main (Deutschland). Für einzelne technische Nebenleistungen kann eine Verarbeitung im Transit außerhalb der Europäischen Union erfolgen; die betroffenen Leistungen, Datenkategorien und Garantien sind in Anlage 3 ausgewiesen.

(2) Eine Verarbeitung in einem Drittland findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, insbesondere aufgrund eines Angemessenheitsbeschlusses nach Art. 45 DSGVO oder auf Grundlage der EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO nebst geeigneter ergänzender Maßnahmen.

(3) Kopien der Garantien stellt der Auftragsverarbeiter auf Anforderung zur Verfügung.

§ 11 Haftung

(1) Für die Haftung der Parteien gilt Art. 82 DSGVO.

(2) Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrages, soweit dies gesetzlich zulässig ist und Ansprüche betroffener Personen sowie Bußgelder der Aufsichtsbehörden hiervon unberührt bleiben.

(3) Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen Dritter frei, die auf einer von ihm zu vertretenden Verletzung seiner Pflichten aus § 4 beruhen. § 6 Absatz 6 der AGB, insbesondere die dort geregelten Informations- und Verfahrenspflichten, gilt entsprechend. Gegen den Auftragsverarbeiter verhängte Geldbußen sind nicht erfasst.

§ 12 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrages sowie seiner Anlagen bedürfen der Textform. Dies gilt auch für die Änderung dieses Textformerfordernisses. Die Aktualisierung der Anlage 3 richtet sich abweichend hiervon nach § 5 Absätze 3 und 4.

(2) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden die unwirksame Bestimmung durch eine wirksame ersetzen, die dem Zweck der unwirksamen Regelung am nächsten kommt.

(3) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrages vor.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Köln, soweit gesetzlich zulässig.

Unterschriften

Für den Verantwortlichen

Ort, Datum: ______________________________

Name, Funktion: __________________________

Unterschrift: ____________________________

Für den Auftragsverarbeiter (Atmos GmbH)

Ort, Datum: ______________________________

Name, Funktion: __________________________

Unterschrift: ____________________________

Anlage 1 – Beschreibung der Verarbeitung

1. Gegenstand der Verarbeitung

Bereitstellung und Betrieb der Software-as-a-Service-Anwendung Tracyn zur Erfassung, Zusammenführung, Auswertung und Weitergabe von Marketing- und Transaktionsdaten des Verantwortlichen.

2. Art der Verarbeitung

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten.

3. Zweck der Verarbeitung

Messung und Auswertung der Marketingleistung des Verantwortlichen, Zusammenführung von Ereignis-, Kampagnen- und Transaktionsdaten aus verschiedenen Quellen, Rückspielung von Conversion- und Attributionsdaten an die vom Verantwortlichen angebundenen Plattformen.

4. Kategorien betroffener Personen

• Besucher der Websites und Online-Shops des Verantwortlichen
• Kunden und Interessenten des Verantwortlichen

Nicht erfasst sind die Nutzerinnen und Nutzer der Anwendung auf Seiten des Verantwortlichen; deren Daten verarbeitet der Auftragsverarbeiter in eigener Verantwortung (§ 1 Absatz 7).

5. Arten personenbezogener Daten

Ausgeschlossen: besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sowie Daten nach Art. 10 DSGVO.

6. Empfänger auf Weisung des Verantwortlichen

Sofern und soweit vom Verantwortlichen konfiguriert, übermittelt der Dienst Daten an:

Von denselben Plattformen ruft der Dienst auf Weisung des Verantwortlichen Kampagnen-, Leistungs- und Bestelldaten ab.

7. Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrages. Die Aufbewahrungsfristen für einzelne Datenkategorien legt der Verantwortliche in der Anwendung fest. Nach Vertragsende gilt § 9 dieses Vertrages.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Pseudonymisierung und Verschlüsselung

• Übertragung sämtlicher Daten ausschließlich über TLS in aktueller Version mit sicheren Cipher Suites
• Verschlüsselung gespeicherter Daten im Ruhezustand (AES-256 oder gleichwertig)
• Normalisierung und kryptografisches Hashing (SHA-256) von Kontaktmerkmalen vor jeder Übermittlung an Werbeplattformen
• Pseudonymisierung von Nutzerkennungen; Kürzung von IP-Adressen nach Konfiguration des Verantwortlichen
• Passwörter ausschließlich als Hash mit anerkanntem Verfahren und individuellem Salt gespeichert

2. Vertraulichkeit

Zutrittskontrolle: Die Verarbeitung erfolgt in zertifizierten Rechenzentren des Infrastrukturanbieters. Physische Sicherungsmaßnahmen (Zutrittskontrolle, Videoüberwachung, Sicherheitspersonal) obliegen diesem und sind durch dessen Zertifizierungen nachgewiesen. Eigene Räumlichkeiten des Auftragsverarbeiters sind durch Schließsysteme gesichert.

Zugangskontrolle: Individuelle Benutzerkonten, verpflichtende Mehr-Faktor-Authentifizierung für administrative Zugänge, Passwortrichtlinie, automatische Sperrung nach Inaktivität, Sperrung von Konten spätestens am Tag des Ausscheidens.

Zugriffskontrolle: Rollenbasiertes Berechtigungskonzept nach dem Prinzip der geringsten Rechte, Trennung von Entwicklungs-, Test- und Produktivumgebung, Protokollierung administrativer Zugriffe, Überprüfung der Berechtigungen mindestens halbjährlich.

Trennungskontrolle: Logische Mandantentrennung; Daten verschiedener Kunden werden durch Mandanten-Identifikatoren getrennt und auf Anwendungsebene isoliert. Testdaten werden nicht aus Produktivdaten abgeleitet, es sei denn, sie wurden zuvor anonymisiert.

3. Integrität

Weitergabekontrolle: Verschlüsselte Übertragung, dokumentierte Schnittstellen, Übermittlung an Dritte ausschließlich nach Konfiguration durch den Verantwortlichen.

Eingabekontrolle: Protokollierung von Anlage, Änderung und Löschung von Datensätzen sowie administrativer Eingriffe. Aufbewahrung der Protokolle 90 Tage.

4. Verfügbarkeit und Belastbarkeit

• Redundante Infrastruktur des Cloud-Anbieters
• Sicherungen: täglich inkrementell, wöchentlich vollständig; Aufbewahrung der Sicherungen 30 Tage
• Dokumentierter Wiederherstellungsprozess; Wiederherstellungstest mindestens einmal jährlich
• Zielwerte: Recovery Point Objective (RPO) 24 Stunden, Recovery Time Objective (RTO) 24 Stunden
• Monitoring und Alerting für Verfügbarkeit und sicherheitsrelevante Ereignisse
• Schutz vor Angriffen durch Web Application Firewall sowie Bot- und DDoS-Abwehr

5. Verfahren zur regelmäßigen Überprüfung

• Datenschutz-Management mit dokumentierten Verantwortlichkeiten
• Verpflichtung aller Mitarbeitenden auf die Vertraulichkeit sowie Sensibilisierung mindestens einmal jährlich
• Dokumentierter Prozess zur Erkennung, Meldung und Bearbeitung von Datenschutzverletzungen
• Auswahl der Unterauftragsverarbeiter nach dokumentierten Kriterien, vertragliche Verpflichtung nach Art. 28 DSGVO und Kontrolle mindestens einmal jährlich
• Datenschutzfreundliche Voreinstellungen und Datenminimierung nach Art. 25 DSGVO
• Überprüfung und Aktualisierung der Maßnahmen dieser Anlage mindestens einmal jährlich

Anlage 3 – Unterauftragsverarbeiter

Stand: 18. August 2026. Die jeweils aktuelle Fassung ist unter /subprozessoren abrufbar.

Hinweis: Dienste, die ausschließlich Nutzerkonto-, Support- oder Kommunikationsdaten verarbeiten und keinen Zugriff auf die im Auftrag verarbeiteten Daten haben – insbesondere Intercom und Resend –, sind keine Unterauftragsverarbeiter im Sinne dieses Vertrages. Sie sind in der Datenschutzerklärung des Auftragsverarbeiters ausgewiesen.