Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO

zwischen dem im Angebot oder Einzelvertrag bezeichneten Kunden

– nachfolgend „Auftraggeber“ –

und

Flagship Apps GmbH, Erkrather Str. 401, 40231 Düsseldorf

– nachfolgend „Auftragnehmer“ –

gemeinsam auch „Parteien“.

Gegenstand und Anwendungsbereich

Dieser Vertrag zur Auftragsverarbeitung („AVV“) konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien, soweit der Auftragnehmer bei der Erbringung der im Angebot, Einzelvertrag oder sonstigen Hauptvertrag vereinbarten Leistungen personenbezogene Daten im Auftrag des Auftraggebers verarbeitet. Er bildet gemeinsam mit dem Hauptvertrag die dokumentierte Weisung des Auftraggebers.

Der Auftragnehmer erbringt insbesondere Beratungs-, Analyse-, Konfigurations-, Entwicklungs-, Implementierungs-, Support- und Wartungsleistungen im Zusammenhang mit Stripe, Anwendungen und technischen Integrationen. Der konkrete Leistungsumfang ergibt sich ausschließlich aus dem Hauptvertrag.

Dieser AVV gilt nur für Verarbeitungsvorgänge, bei denen der Auftragnehmer als Auftragsverarbeiter im Sinne von Art. 28 DSGVO tätig wird. Soweit eine Partei personenbezogene Daten für eigene Zwecke und in eigener datenschutzrechtlicher Verantwortung verarbeitet, bleibt sie hierfür selbst Verantwortlicher. Die datenschutzrechtliche Einordnung richtet sich nach der tatsächlich ausgeübten Tätigkeit.

Die in diesem AVV verwendeten Begriffe entsprechen den Begriffsbestimmungen der Datenschutz-Grundverordnung („DSGVO“). Personenbezogene Daten, die der Auftragnehmer im Auftrag verarbeitet, werden nachfolgend als „Auftragsdaten“ bezeichnet.

Einzelheiten der Auftragsverarbeitung

Gegenstand und Zweck

Gegenstand der Auftragsverarbeitung ist der zur Erfüllung des Hauptvertrags erforderliche Umgang mit Auftragsdaten. Die Verarbeitung dient insbesondere folgenden Zwecken:

• Analyse und Optimierung von Stripe-Systemen, Zahlungsabläufen und Geschäftsprozessen,
• Konfiguration und technische Betreuung von Stripe-Accounts,
• Entwicklung, Implementierung, Test und Fehlerbehebung von Anwendungen, Schnittstellen und Stripe-Integrationen,
• Migration, Übertragung oder strukturierte Aufbereitung von Daten, soweit dies ausdrücklich vereinbart ist,
• Support, Wartung, Dokumentation und technische Kommunikation im vereinbarten Umfang.

Art der Verarbeitung

Je nach vereinbarter Leistung kann die Verarbeitung insbesondere das Erheben, Erfassen, Ordnen, Strukturieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Abgleichen, Verknüpfen, Einschränken und Löschen von Auftragsdaten umfassen. Welche Verarbeitungshandlungen tatsächlich stattfinden, bestimmt sich nach dem Hauptvertrag und den dokumentierten Weisungen des Auftraggebers.

Der Auftragnehmer verarbeitet nur die für die jeweilige Leistung erforderlichen Auftragsdaten. Für Entwicklung und Tests sollen nach Möglichkeit anonymisierte, pseudonymisierte oder synthetische Daten verwendet werden.

Kategorien personenbezogener Daten

Abhängig vom jeweiligen Auftrag können insbesondere folgende Datenkategorien verarbeitet werden:

• Stamm- und Kontaktdaten, insbesondere Namen, Anschriften, E-Mail-Adressen und Telefonnummern,
• Kunden-, Lieferanten-, Interessenten- und Geschäftspartnerdaten,
• Vertrags-, Bestell-, Leistungs- und Kommunikationsdaten,
• Rechnungs-, Zahlungs-, Auszahlungs-, Gebühren- und Transaktionsdaten,
• Zahlungsstatus, Währungen, Beträge, Zeitpunkte und Transaktionskennungen,
• technische Identifikations-, Geräte-, Nutzungs-, Protokoll- und Fehlerdaten,
• Supportanfragen und darin enthaltene Informationen,
• Benutzer-, Rollen- und Berechtigungsdaten,
• Zugangsdaten, API-Schlüssel, Zugriffstoken und vergleichbare technische Zugangsmittel, soweit deren Verarbeitung für die vereinbarte Leistung erforderlich ist,
• sonstige Daten, die der Auftraggeber im Rahmen des vereinbarten Leistungsumfangs zugänglich macht.

Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO und personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Art. 10 DSGVO sind nicht Gegenstand der vereinbarten Verarbeitung. Ihre Verarbeitung bedarf einer vorherigen ausdrücklichen Vereinbarung in Textform, einer dokumentierten Weisung und angemessener zusätzlicher Schutzmaßnahmen.

Vollständige Zahlungskartennummern, Kartenprüfwerte, PIN-Daten und sonstige sensitive Authentifizierungsdaten sind nicht Gegenstand der vereinbarten Verarbeitung und dürfen dem Auftragnehmer nicht bereitgestellt oder zugänglich gemacht werden. Der Auftragnehmer verarbeitet insbesondere keine Daten, die bei ihm die Einhaltung von Anforderungen des Payment Card Industry Data Security Standard (PCI DSS) auslösen würden.

Kategorien betroffener Personen

Von der Verarbeitung können insbesondere folgende Personengruppen betroffen sein:

• Kunden, Interessenten und Endnutzer des Auftraggebers,
• Beschäftigte, Bewerber und ehemalige Beschäftigte des Auftraggebers,
• Ansprechpartner bei Kunden, Lieferanten, Dienstleistern und Geschäftspartnern,
• Lieferanten, Auftragnehmer und sonstige Geschäftspartner des Auftraggebers,
• Nutzer und Administratoren der betroffenen Systeme,
• sonstige Personen, deren Daten der Auftraggeber im Rahmen des Hauptvertrags rechtmäßig bereitstellt.

Dauer

Die Auftragsverarbeitung beginnt mit dem erstmaligen Zugriff des Auftragnehmers auf Auftragsdaten und dauert grundsätzlich für die Laufzeit des Hauptvertrags. Sie endet, sobald der Auftragnehmer nach Beendigung des Hauptvertrags sämtliche Auftragsdaten nach Maßgabe dieses AVV zurückgegeben oder gelöscht hat, soweit keine gesetzliche Aufbewahrungspflicht besteht.

Verantwortlichkeit und Pflichten des Auftraggebers

Der Auftraggeber ist im Rahmen dieses AVV Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Er ist insbesondere verantwortlich für:

• die Rechtmäßigkeit der Verarbeitung und der Übermittlung beziehungsweise Zugänglichmachung der Auftragsdaten,
• die Wahrung der Rechte der betroffenen Personen,
• die Erfüllung gesetzlicher Informations-, Dokumentations- und Meldepflichten,
• die Festlegung von Zweck und zulässigem Umfang der Verarbeitung,
• die Richtigkeit, Erforderlichkeit und Datenminimierung der bereitgestellten Daten,
• die Erteilung rechtmäßiger, eindeutiger und dokumentierter Weisungen,
• die rechtzeitige Bereitstellung der für die Auftragsverarbeitung erforderlichen Informationen.

Der Auftraggeber informiert den Auftragnehmer unverzüglich und vollständig, wenn er bei der Prüfung der Verarbeitung Fehler, Unregelmäßigkeiten oder mögliche Datenschutzverletzungen feststellt.

Der Auftraggeber stellt dem Auftragnehmer besondere Kategorien personenbezogener Daten oder Daten nach Art. 10 DSGVO nur nach Maßgabe der hierfür getroffenen ausdrücklichen Zusatzvereinbarung zur Verfügung. Erlangt der Auftragnehmer unbeabsichtigt Kenntnis von solchen Daten, informiert er den Auftraggeber und stimmt das weitere Vorgehen mit ihm ab.

Weisungsgebundene Verarbeitung

Der Auftragnehmer verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich hinsichtlich der Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern er nicht durch das Recht der Europäischen Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet ist. In diesem Fall teilt er dem Auftraggeber die rechtliche Verpflichtung vor der Verarbeitung mit, soweit das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

Die anfänglichen Weisungen ergeben sich aus dem Hauptvertrag und diesem AVV. Der Auftraggeber kann diese Weisungen während der Vertragslaufzeit in Textform ändern oder ergänzen. Mündliche Weisungen sind in dringenden Ausnahmefällen zulässig und vom Auftraggeber unverzüglich in Textform zu bestätigen. Der Auftragnehmer dokumentiert Weisungen und deren Umsetzung in angemessener Weise.

Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Europäischen Union oder der Mitgliedstaaten verstößt, informiert er den Auftraggeber unverzüglich. Der Auftragnehmer darf die Ausführung der betreffenden Weisung aussetzen, bis sie vom Auftraggeber geändert oder nach Prüfung ausdrücklich bestätigt wird. Offensichtlich rechtswidrige Weisungen muss der Auftragnehmer nicht ausführen.

Weisungen, die den im Hauptvertrag vereinbarten Leistungsumfang wesentlich ändern oder zusätzlichen Aufwand verursachen, bedürfen einer gesonderten Vereinbarung über Leistungsumfang, Termine und Vergütung. Gesetzlich zwingende Pflichten des Auftragnehmers bleiben unberührt.

Pflichten des Auftragnehmers

Der Auftragnehmer gewährleistet in seinem Verantwortungsbereich die Einhaltung der auf die Auftragsverarbeitung anwendbaren datenschutzrechtlichen Vorschriften. Er wird insbesondere:

• Auftragsdaten nur im Rahmen dieses AVV, des Hauptvertrags und dokumentierter Weisungen verarbeiten,
• den Zugriff auf Auftragsdaten auf die für die Leistungserbringung erforderlichen Personen beschränken,
• sicherstellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen,
• die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen umsetzen,
• ein Verzeichnis der für den Auftraggeber durchgeführten Verarbeitungstätigkeiten führen, soweit er hierzu gesetzlich verpflichtet ist,
• mit der zuständigen Aufsichtsbehörde nach Maßgabe der gesetzlichen Anforderungen zusammenarbeiten,
• dem Auftraggeber auf Anfrage die Kontaktdaten seines Datenschutzbeauftragten mitteilen, sofern ein solcher benannt ist.

Der Auftragnehmer kontrolliert die Rechtmäßigkeit der Zwecke oder der vom Auftraggeber bereitgestellten Daten nicht umfassend. Seine gesetzliche Hinweispflicht bei erkennbar rechtswidrigen Weisungen bleibt unberührt.

Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 28 Abs. 3 lit. c und Art. 32 DSGVO. Die Maßnahmen berücksichtigen den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen.

Der Auftragnehmer darf die Maßnahmen während der Vertragslaufzeit an technische und organisatorische Entwicklungen anpassen. Das vereinbarte Schutzniveau darf dadurch nicht unterschritten werden. Wesentliche Änderungen dokumentiert der Auftragnehmer und teilt sie dem Auftraggeber auf Anfrage mit.

Soweit der Auftragnehmer unmittelbar in Systemen des Auftraggebers arbeitet, bleibt der Auftraggeber für die Sicherheit, Konfiguration, Datensicherung und Verfügbarkeit dieser Systeme verantwortlich. Der Auftragnehmer beachtet die ihm mitgeteilten Sicherheitsvorgaben und nutzt nur die für die Leistung erforderlichen Berechtigungen.

Unterauftragsverarbeitung

Der Auftragnehmer darf weitere Auftragsverarbeiter im Sinne von Art. 28 Abs. 2 DSGVO nur nach vorheriger gesonderter Genehmigung des Auftraggebers in Textform einsetzen. Bei Abschluss dieses AVV sind keine Unterauftragsverarbeiter genehmigt.

Beabsichtigt der Auftragnehmer die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, informiert er den Auftraggeber rechtzeitig vor dessen Einsatz in Textform über dessen Identität, die vorgesehene Leistung, den Verarbeitungsort und einen etwaigen Drittlandbezug und holt die erforderliche Genehmigung ein. Ohne Genehmigung erhält der betreffende Unterauftragsverarbeiter keinen Zugriff auf Auftragsdaten.

Verweigert der Auftraggeber die Genehmigung und kann der Auftragnehmer die vereinbarte Leistung ohne den betreffenden Unterauftragsverarbeiter nicht oder nur mit unverhältnismäßigem Aufwand erbringen, bemühen sich die Parteien um eine zumutbare Lösung. Ist eine solche nicht möglich, kann jede Partei den betroffenen Leistungsteil außerordentlich kündigen.

Der Auftragnehmer wählt Unterauftragsverarbeiter sorgfältig aus und verpflichtet sie vertraglich mindestens zu denselben Datenschutzpflichten, die in diesem AVV festgelegt sind. Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Erfüllung der Pflichten des Unterauftragsverarbeiters verantwortlich.

Keine Unterauftragsverarbeitung sind Leistungen, bei denen ein Dienstleister keinen Zugriff auf Auftragsdaten erhält, oder reine Nebenleistungen ohne konkreten Bezug zur Auftragsverarbeitung, etwa allgemeine Telekommunikations-, Post-, Transport-, Wartungs- oder Entsorgungsleistungen. Der Auftragnehmer stellt auch bei solchen Leistungen einen angemessenen Schutz vertraulicher Informationen sicher.

Verarbeitungsort und Drittlandübermittlungen

Die Auftragsverarbeitung findet grundsätzlich in der Bundesrepublik Deutschland, in einem anderen Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Europäischen Wirtschaftsraums statt.

Eine Verarbeitung in einem Drittland oder durch eine internationale Organisation ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind und sie von einer dokumentierten Weisung oder Genehmigung des Auftraggebers umfasst ist. Der Auftragnehmer informiert den Auftraggeber über den einschlägigen Übermittlungsmechanismus und stellt ihm die gesetzlich erforderlichen Informationen zur Verfügung.

Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen angemessen bei:

• der Erfüllung von Anträgen betroffener Personen nach Kapitel III der DSGVO,
• der Gewährleistung der Sicherheit der Verarbeitung nach Art. 32 DSGVO,
• der Erfüllung der Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO,
• Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO,
• vorherigen Konsultationen der Aufsichtsbehörde nach Art. 36 DSGVO.

Wendet sich eine betroffene Person, eine Behörde oder ein Dritter unmittelbar an den Auftragnehmer und betrifft die Anfrage Auftragsdaten, leitet der Auftragnehmer sie unverzüglich an den Auftraggeber weiter. Er beantwortet die Anfrage nicht selbst, sofern er hierzu nicht vom Auftraggeber angewiesen oder gesetzlich verpflichtet ist.

Unterstützungsleistungen, die nicht auf einer vom Auftragnehmer zu vertretenden Pflichtverletzung beruhen und über die im Hauptvertrag geschuldeten Leistungen hinausgehen, können nach den vereinbarten Sätzen vergütet werden. Zwingende gesetzliche Pflichten bleiben unberührt.

Datenschutzverletzungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich, grundsätzlich innerhalb von 24 Stunden, nachdem ihm eine Verletzung des Schutzes von Auftragsdaten tatsächlich bekannt geworden ist. Eine Erstmeldung erfolgt auch dann, wenn zu diesem Zeitpunkt noch nicht alle Informationen vorliegen. Die Mitteilung enthält, soweit zu diesem Zeitpunkt bekannt und verfügbar, insbesondere:

• eine Beschreibung der Art der Verletzung,
• die betroffenen Daten- und Personenkategorien,
• die ungefähre Zahl betroffener Personen und Datensätze,
• die wahrscheinlichen Folgen,
• die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen,
• eine Kontaktstelle für Rückfragen.

Können die Informationen nicht gleichzeitig bereitgestellt werden, übermittelt der Auftragnehmer sie schrittweise ohne unangemessene weitere Verzögerung. Er trifft in seinem Verantwortungsbereich unverzüglich angemessene Maßnahmen zur Begrenzung und Behebung der Verletzung und unterstützt den Auftraggeber bei dessen gesetzlichen Pflichten.

Meldungen an Aufsichtsbehörden oder Benachrichtigungen betroffener Personen obliegen dem Auftraggeber, soweit der Auftragnehmer hierzu nicht ausdrücklich angewiesen oder gesetzlich verpflichtet ist. Die Information des Auftraggebers stellt kein Anerkenntnis einer Rechtspflicht oder Verantwortlichkeit des Auftragnehmers dar.

Rückgabe und Löschung

Nach Abschluss der Auftragsverarbeitung löscht oder gibt der Auftragnehmer nach Wahl des Auftraggebers alle Auftragsdaten zurück und löscht vorhandene Kopien, sofern nicht das Recht der Europäischen Union oder eines Mitgliedstaats eine weitere Speicherung verlangt. Der Auftraggeber teilt seine Wahl spätestens bis zur Beendigung des Hauptvertrags mit.

Erfolgt keine rechtzeitige Weisung, löscht der Auftragnehmer die Auftragsdaten grundsätzlich innerhalb von 30 Kalendertagen nach Beendigung des Hauptvertrags, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Bis zur Löschung dürfen die Daten nur zur Abwicklung der Vertragsbeendigung verarbeitet werden und sind für andere Verarbeitungen zu sperren.

Auftragsdaten in ordnungsgemäßen Sicherungskopien dürfen bis zu ihrer turnusmäßigen Überschreibung, längstens jedoch für 180 Kalendertage, verbleiben, wenn eine vorzeitige selektive Löschung technisch nicht oder nur mit unverhältnismäßigem Aufwand möglich ist. Sie unterliegen währenddessen weiterhin diesem AVV.

Die Löschung oder Rückgabe wird dem Auftraggeber auf Anfrage in geeigneter Weise bestätigt. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind. Der Nachweis soll vorrangig durch aktuelle Dokumentationen, Eigenauskünfte, geeignete Prüfberichte, Zertifikate oder vergleichbare Nachweise erfolgen.

Der Auftraggeber darf die Einhaltung dieses AVV selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer kontrollieren. Kontrollen müssen erforderlich und verhältnismäßig sein, dürfen den Geschäftsbetrieb des Auftragnehmers nicht unangemessen beeinträchtigen und sind grundsätzlich mindestens 14 Kalendertage vorher anzukündigen. Bei einem konkreten Verdacht auf eine erhebliche Pflichtverletzung oder einem Sicherheitsvorfall kann die Ankündigungsfrist angemessen verkürzt werden.

Ein externer Prüfer darf nicht in einem unmittelbaren Wettbewerbsverhältnis zum Auftragnehmer stehen und muss hinreichend fachkundig sowie zur Verschwiegenheit verpflichtet sein. Bei Kontrollen sind Geschäftsgeheimnisse, personenbezogene Daten anderer Kunden sowie Sicherheitsinteressen des Auftragnehmers und Dritter zu schützen. Zugriffe auf Daten anderer Kunden oder auf nicht auftragsbezogene Systeme sind ausgeschlossen.

Der Auftragnehmer ermöglicht erforderliche Inspektionen und trägt angemessen zu ihnen bei. Zusätzlichen Aufwand für Kontrollen kann er nach den vereinbarten Sätzen abrechnen, soweit die Kontrolle keine vom Auftragnehmer zu vertretende erhebliche Pflichtverletzung ergibt und nicht durch einen konkreten, vom Auftragnehmer zu vertretenden Anlass erforderlich wurde.

Haftung

Für die Haftung der Parteien gelten Art. 82 DSGVO, die sonstigen zwingenden gesetzlichen Vorschriften sowie ergänzend die Haftungsregelungen des Hauptvertrags. Zwingende Ansprüche betroffener Personen und zwingende gesetzliche Haftungsmaßstäbe werden durch diesen AVV nicht eingeschränkt.

Schlussbestimmungen

Soweit die Regelungen dieses AVV für die Verarbeitung personenbezogener Daten im Auftrag den Regelungen des Hauptvertrags widersprechen, gehen die Regelungen dieses AVV vor. Im Übrigen bleibt der Hauptvertrag unberührt.

Änderungen und Ergänzungen dieses AVV bedürfen mindestens der Textform, soweit nicht eine strengere gesetzliche Form vorgeschrieben ist. Dies gilt auch für Änderungen der Anlagen. Individuelle Vereinbarungen der Parteien und die zulässige Weiterentwicklung der technischen und organisatorischen Maßnahmen bleiben unberührt.

Sollte eine Bestimmung dieses AVV ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleiben die übrigen Bestimmungen wirksam. An die Stelle der unwirksamen oder undurchführbaren Bestimmung tritt die gesetzliche Regelung. Gleiches gilt für Regelungslücken.

Es gelten die Rechtswahl- und Gerichtsstandsvereinbarungen des Hauptvertrags, soweit zwingendes Datenschutzrecht nicht entgegensteht.

Anlage 1 – Technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO

Die nachfolgenden Maßnahmen beschreiben das für die Auftragsverarbeitung vorgesehene Schutzniveau. Sie gelten jeweils, soweit sie nach Art, Umfang, Umständen und Zwecken der konkreten Verarbeitung einschlägig sind.

Organisation und Verantwortlichkeit

• Datenschutz- und Informationssicherheitsanforderungen werden bei der Leistungserbringung berücksichtigt.
• Zugriffsberechtigte Personen werden sorgfältig ausgewählt und vor dem Zugriff auf Auftragsdaten zur Vertraulichkeit verpflichtet.
• Zuständigkeiten und Berechtigungen werden nach dem Erforderlichkeits- und Need-to-know-Prinzip vergeben.
• Personenbezogene Daten werden nur im Rahmen dokumentierter Aufträge und Weisungen verarbeitet.
• Sicherheitsmaßnahmen werden mindestens jährlich sowie nach wesentlichen technischen oder organisatorischen Änderungen anlassbezogen überprüft und bei Bedarf angepasst.

Zutrittskontrolle

• Arbeitsräume werden durch geeignete Schließsysteme gegen unbefugten Zutritt geschützt.
• Unbefugte Dritte erhalten keinen unbeaufsichtigten Zugang zu Arbeitsplätzen oder Geräten, auf denen Auftragsdaten verarbeitet werden.
• Mobile Arbeitsgeräte werden auch außerhalb der Arbeitsstätte gegen Verlust, Diebstahl und unbefugte Nutzung geschützt.
• Papierunterlagen und Datenträger mit Auftragsdaten werden vermieden oder sicher aufbewahrt.

Zugangskontrolle

• IT-Systeme und Endgeräte werden durch individuelle Benutzerkonten und starke Authentisierung geschützt.
• Mehr-Faktor-Authentifizierung wird eingesetzt, soweit das jeweilige System sie unterstützt und dies nach dem Risiko angemessen ist.
• Mobile Arbeitsgeräte und sonstige Endgeräte, auf denen Auftragsdaten gespeichert oder verarbeitet werden können, werden durch Bildschirmsperren, Geräteverschlüsselung und aktuelle Schutzmechanismen gesichert.
• Kritische Sicherheitsupdates für Betriebssysteme, Anwendungen und sicherheitsrelevante Komponenten werden nach Verfügbarkeit zeitnah installiert.
• Schutz vor Schadsoftware sowie lokale Firewall- und Betriebssystem-Schutzfunktionen werden risikogerecht eingesetzt.
• Zugangsdaten werden nicht unverschlüsselt oder für Unbefugte zugänglich aufbewahrt.

Zugriffskontrolle

• Zugriffsrechte werden auf das zur Vertragserfüllung erforderliche Maß beschränkt.
• Für Kundenkonten werden nach Möglichkeit personalisierte Zugänge mit den geringstmöglichen Rollen und Berechtigungen verwendet.
• Administrative Berechtigungen werden nur eingesetzt, wenn sie für die konkrete Tätigkeit erforderlich sind.
• Berechtigungen werden anlassbezogen überprüft und nach Abschluss der jeweiligen Tätigkeit oder nach Vertragsende entzogen beziehungsweise zur Entziehung an den Auftraggeber gemeldet.
• Beim Ausscheiden zugriffsberechtigter Personen oder bei einem Aufgabenwechsel werden nicht mehr erforderliche Berechtigungen und Zugriffsmöglichkeiten unverzüglich entzogen.
• Gemeinsam genutzte Konten werden vermieden, soweit sie technisch nicht erforderlich oder ausdrücklich abgestimmt sind.

Schutz von Zugangsdaten und technischen Geheimnissen

• Passwörter, API-Schlüssel, Zugriffstoken und vergleichbare Zugangsmittel werden sicher übertragen und in einem hierfür vorgesehenen Passwortmanager oder Secrets-Management-System gespeichert.
• Technische Zugangsmittel werden ausschließlich für autorisierte Vertragszwecke verwendet und nicht an unbefugte Dritte weitergegeben.
• Geheimnisse werden nicht in Quellcode, Tickets, unverschlüsselten Notizen, allgemein zugänglichen Dokumentationen oder ungeschützten Kommunikationskanälen abgelegt.
• Bei einem tatsächlichen oder vermuteten unbefugten Zugriff werden betroffene Zugangsmittel unverzüglich gesperrt, widerrufen oder rotiert, soweit dies im Verantwortungsbereich des Auftragnehmers liegt; andernfalls wird der Auftraggeber unverzüglich informiert.

Übertragungs- und Transportkontrolle

• Datenübertragungen erfolgen nach Möglichkeit über verschlüsselte Verbindungen nach dem Stand der Technik.
• Empfänger und Übermittlungswege werden vor einer Übermittlung geprüft.
• Auftragsdaten werden nur an autorisierte Empfänger und im Rahmen dokumentierter Weisungen übermittelt.
• Mobile oder externe Datenträger werden nur eingesetzt, wenn dies erforderlich ist, und dann angemessen verschlüsselt und geschützt.

Trennung und Datenminimierung

• Daten verschiedener Kunden und Projekte werden logisch oder organisatorisch voneinander getrennt.
• Produktiv-, Entwicklungs- und Testumgebungen werden soweit möglich getrennt behandelt.
• Für Entwicklung und Tests werden nach Möglichkeit anonymisierte, pseudonymisierte oder synthetische Daten eingesetzt.
• Es werden nur die für den jeweiligen Auftrag erforderlichen Daten zugänglich gemacht und verarbeitet.
• Auftragsdaten werden nicht für eigene Zwecke des Auftragnehmers verwendet.

Eingabe- und Nachvollziehbarkeitskontrolle

• Änderungen und Verarbeitungsschritte werden im nach Art und Risiko der Tätigkeit angemessenen Umfang dokumentiert.
• Soweit die eingesetzten Kundensysteme entsprechende Funktionen bereitstellen, werden deren Protokollierungs- und Änderungshistorien genutzt.
• Weisungen, Freigaben und sicherheitsrelevante Vorgänge werden in geeigneter Form nachvollziehbar festgehalten.

Verfügbarkeit und Wiederherstellbarkeit

• Geschäftlich erforderliche eigene Systeme und Arbeitsunterlagen werden risikogerecht gesichert.
• Für die Verfügbarkeit, Sicherung und Wiederherstellung der Systeme und Daten des Auftraggebers bleibt der Auftraggeber verantwortlich, soweit im Hauptvertrag nicht ausdrücklich etwas anderes vereinbart ist.
• Vor wesentlichen Änderungen an Produktivsystemen wird auf das Vorhandensein einer angemessenen Datensicherung hingewirkt.
• Sicherheitsvorfälle und technische Störungen werden nach festgelegten Zuständigkeiten behandelt und dokumentiert.

Löschung und Entsorgung

• Auftragsdaten, lokale Arbeitskopien, Exporte, Screenshots und zu Analyse- oder Testzwecken erstellte Kopien werden gelöscht, sobald sie für die jeweilige Tätigkeit nicht mehr erforderlich sind und keine gesetzliche Aufbewahrungspflicht besteht.
• Datenträger und Geräte werden vor einer Weitergabe oder Wiederverwendung sicher gelöscht oder zurückgesetzt.
• Papierunterlagen mit vertraulichen oder personenbezogenen Daten werden datenschutzgerecht vernichtet.
• Nicht mehr erforderliche Zugangsdaten, Sitzungen und lokale Kopien werden nach Abschluss der Tätigkeit entfernt.

Kontrolle von Unterauftragsverarbeitern

• Unterauftragsverarbeiter werden vor ihrem Einsatz nach Datenschutz- und Informationssicherheitskriterien ausgewählt.
• Mit Unterauftragsverarbeitern werden Vereinbarungen gemäß Art. 28 DSGVO abgeschlossen.
• Geeignete Garantien für Drittlandübermittlungen werden vor Beginn der Verarbeitung geprüft und dokumentiert.
• Die Einhaltung der vereinbarten Anforderungen wird risikoorientiert und anlassbezogen kontrolliert.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Zum Stand dieses AVV setzt der Auftragnehmer keine festen Unterauftragsverarbeiter ein, die im Rahmen der vertragsgegenständlichen Leistungen Auftragsdaten verarbeiten.

Werden für einen konkreten Auftrag Unterauftragsverarbeiter benötigt, werden sie nach Maßgabe des Abschnitts „Unterauftragsverarbeitung“ vor ihrem Einsatz angezeigt und nach erfolgter Genehmigung in diese Anlage oder eine projektbezogene Ergänzung aufgenommen.

Stand: 08.10.2026.