Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO

zwischen

Kunden von NK-Audit

– nachfolgend „Auftraggeber“ genannt –

und dem Auftragsverarbeiter

Röckl Consulting GmbH

St.-Michael-Str. 23

94501 Aldersbach

– nachfolgend „Auftragnehmer“ genannt –

– nachfolgend zusammen die „Parteien“ genannt –

Präambel

Für diesen Auftragsverarbeitungsvertrag gelten die Begriffe und Definitionen der Verordnung (EU) 2016/679 (nachfolgend „DSGVO“), insbesondere des Art. 4 DSGVO.

1. Gegenstand

1.1 Gegenstand dieses Auftragsverarbeitungsvertrages ist die Festlegung des datenschutzrechtlichen Rahmens für die vertraglichen Beziehungen zwischen den Parteien.

1.2 Die Beschreibung des jeweiligen Auftrags mit den Angaben über Gegenstand des Auftrags, Umfang, Art und Zweck der Datenverarbeitung, Art der personenbezogenen Daten sowie Kategorien der betroffenen Personen befindet sich in der Anlage unter der Ziffer 1.

2. Ort der Datenverarbeitung

2.1 Die vertraglich vereinbarte Verarbeitung findet im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum („Sichere Staaten“) statt, sofern sich aus der Anlage nichts Anderes ergibt.

2.2 Der Auftragnehmer darf Daten des Auftraggebers durch Stellen außerhalb der Sicheren Staaten („Drittland“) nur verarbeiten oder verarbeiten lassen, wenn und soweit (i) für das betreffende Drittland auf Grundlage einer gültigen Entscheidung der Europäischen Kommission ein angemessenes Datenschutzniveau festgestellt ist oder (ii) die Verarbeitung auf Grundlage und nach Maßgabe der jeweils gültigen EU-Standardvertragsklauseln („SCC“) erfolgt, welche dem Auftraggeber vorzulegen und mit der im Drittland ansässigen Stelle („Datenimporteur“) schriftlich zu vereinbaren sind. Sofern der Datenimporteur und der Auftragnehmer nicht identisch sind, hat der Auftragnehmer diesen SCC beizutreten. Die in dieser AV festgelegten Bestimmungen bleiben unberührt.

3. Laufzeit

3.1 Dieser Vertrag wird auf unbestimmte Zeit geschlossen und kann von jeder Partei mit einer Frist von drei Monaten gekündigt werden. Soweit im Zeitpunkt der Kündigung noch ein Hauptvertrag oder mehrere Hauptverträge, bei denen der Auftragnehmer im Auftrag personenbezogene Daten des Auftraggebers verarbeitet, in Kraft sind, gelten die Bestimmungen dieses Vertrages bis zu der regulären Beendigung des Hauptvertrages/der Hauptverträge fort.

3.2 Der Auftraggeber kann diesen Vertrag ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrages vorliegt. Insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art. 28 DSGVO abgeleiteten Pflichten stellt einen schweren Verstoß dar.

4. Weisung

4.1 Der Auftragnehmer verarbeitet die personenbezogenen Daten nur im Rahmen der vom Auftraggeber erteilten Weisungen. Dies gilt nicht, soweit der Auftragnehmer durch das Recht der EU oder der Mitgliedstaaten, dem der Auftragnehmer unterliegt, zur Verarbeitung verpflichtet ist. In diesem Fall teilt der Auftragnehmer diese rechtlichen Anforderungen vor der Verarbeitung mit, es sei denn, die Mitteilung ist durch das betreffende Recht wegen eines wichtigen öffentlichen Interesses verboten.

4.2 Falls Weisungen die unter Ziffer 1 der Anlage dieses Vertrages getroffenen Festlegungen ändern, aufheben oder ergänzen, sind sie nur zulässig, wenn eine entsprechende neue Vereinbarung in schriftlicher Form erfolgt.

4.3 Unabhängig von der Form der Erteilung dokumentieren sowohl der Auftragnehmer als auch der Auftraggeber jede Weisung des Auftraggebers in Textform. Die Weisungen sind für ihre Geltungsdauer dieses Vertrages und anschließend noch für drei Jahre aufzubewahren.

4.4 Der Auftragnehmer weist den Auftraggeber unverzüglich darauf hin, wenn eine vom Auftraggeber erteilte Weisung seiner Auffassung nach gegen gesetzliche Vorschriften verstößt. In einem solchen Fall ist der Auftragnehmer nach rechtzeitiger vorheriger Ankündigung gegenüber dem Auftraggeber berechtigt, die Ausführung der Weisung auszusetzen, bis der Auftraggeber die Weisung geändert hat oder diese bestätigt. Sofern der Auftragnehmer darlegen kann, dass eine Verarbeitung nach Weisung des Auftraggebers zu einer Haftung des Auftragnehmers nach Art. 82 DSGVO führen kann, steht dem Auftragnehmer das Recht frei, die weitere Verarbeitung insoweit bis zu einer Klärung der Haftung zwischen den Parteien auszusetzen.

4.5 Weisungen dürfen nur durch Personen erteilt werden, welche aufgrund ihrer organschaftlichen Stellung oder ihrer besonderen Funktion den Auftraggeber insoweit vertreten (z. B. Datenschutzbeauftragter, Chief Security Officer, etc.).

4.6 Der Auftragnehmer legt in der Anlage dieses Vertrages Weisungsempfänger fest. Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und in schriftlicher oder elektronischer Form die Nachfolger oder Vertreter mitzuteilen.

5. Unterstützungspflichten des Auftragnehmers

5.1 Der Auftragnehmer ergreift angesichts der Art der Verarbeitung geeignete technische und organisatorische Maßnahmen, um den Auftraggeber bei seiner Pflicht zur Beantwortung von Anträgen der betroffenen Personen nach Art. 12 bis 22 DSGVO zu unterstützen.

5.2 Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Auftragnehmer den Verantwortlichen bei der Einhaltung seiner Pflichten nach Art. 32 bis 36 DSGVO. Im Einzelnen bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen an die Aufsichtsbehörde, der Benachrichtigung betroffener Personen bei einer Verletzung, der Datenschutz-Folgeabschätzung und bei der Konsultation der zuständigen Aufsichtsbehörde.

5.3 Sofern sich eine betroffene Person oder eine Datenschutzaufsichtsbehörde im Zusammenhang mit den unter dieser Vereinbarung verarbeiteten personenbezogenen Daten direkt an den Auftragnehmer wendet, informiert der Auftragnehmer den Auftraggeber hierüber unverzüglich und stimmt die weiteren Schritte mit ihm ab.

6. Prüfungsrechte des Auftraggebers

6.1 Der Auftragnehmer stellt dem Auftraggeber auf dessen Anfrage alle erforderlichen Informationen zum Nachweis der in diesem Vertrag und Art. 28 DSGVO geregelten Pflichten zur Verfügung. Insbesondere erteilt der Auftragnehmer dem Auftraggeber Auskünfte über die gespeicherten Daten und die Datenverarbeitungsprogramme.

6.2 Der Auftraggeber oder von ihm beauftragte Dritte sind – grundsätzlich nach Terminvereinbarung mindestens 30 Tage im Voraus – berechtigt, die Einhaltung der Pflichten aus diesem Vertrag und aus Art. 28 DSGVO zu überprüfen und beim Auftragnehmer Inspektionen vor Ort durchzuführen. Der Auftragnehmer ermöglicht dies und trägt dazu bei. Anlasslose Inspektionen sind auf maximal eine Inspektion pro Jahr beschränkt.

6.3 Der Auftragnehmer hat dem Auftraggeber auf Anforderung geeigneten Nachweis über die Einhaltungen der Verpflichtungen gemäß Art. 28 Abs. 1 und Abs. 4 DSGVO zu erbringen. Dieser Nachweis kann durch die Bereitstellung von Dokumenten und Zertifikaten, die genehmigte Verhaltensregeln i. S. v. Art. 40 DSGVO oder genehmigte Zertifizierungsverfahren i. S. v. Art. 42 DSGVO abbilden, erbracht werden.

7. Datenschutzkontakt des Auftragnehmers

7.1 Der Datenschutzkontakt des Auftragnehmers ist in der Anlage dieses Vertrages unter Ziffer 3 angeführt.

8. Vertraulichkeit

8.1 Der Auftragnehmer bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften der DSGVO bekannt sind. Er wahrt bei der Verarbeitung der personenbezogenen Daten des Auftraggebers das Datengeheimnis sowie die Vertraulichkeit. Diese Pflicht besteht auch nach Beendigung dieses Vertragsverhältnisses fort.

8.2 Der Auftragnehmer sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht. Er verpflichtet diese Mitarbeiter durch schriftliche Vereinbarung für die Zeit der Tätigkeit und auch nach Beendigung des Beschäftigungsverhältnisses zur Wahrung der Vertraulichkeit, sofern sie nicht einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Unternehmen.

8.3 Auskünfte an Dritte oder Betroffene darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung, oder Zustimmung in einem elektronischen Format, durch den Auftraggeber erteilen.

9. Technische und organisatorische Maßnahmen

9.1 Der Auftragnehmer führt geeignete technische und organisatorische Maßnahmen so durch, dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet ist. Er gestaltet seine innerbetriebliche Organisation so, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird und ein angemessenes Schutzniveau erreicht wird. Insbesondere hat der Auftragnehmer unter Berücksichtigung des jeweiligen Stands der Technik die angemessene Sicherheit der Verarbeitung, insbesondere die Vertraulichkeit (inklusive Pseudonymisierung und Verschlüsselung), Verfügbarkeit, Integrität, und Belastbarkeit der für die Datenverarbeitung verwendeten Systeme und Dienstleistungen sicherzustellen.

9.2 Die technischen und organisatorischen Maßnahmen in der Anlage werden als verbindlich festgelegt.

9.3 Die technischen und organisatorischen Maßnahmen können im Laufe des Auftragsverhältnisses der technischen Weiterentwicklung angepasst werden. Dabei müssen die angepassten Maßnahmen mindestens dem Sicherheitsniveau der in der Anlage vereinbarten Maßnahmen entsprechen. Wesentliche Änderungen sind in schriftlicher Form oder einem elektronischen Format zu vereinbaren.

10. Informationspflichten und Verletzung des Schutzes personenbezogener Daten

10.1 Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich über jegliche Verstöße oder vermutete Verstöße gegen diesen Vertrag oder Vorschriften, die den Schutz personenbezogener Daten betreffen.

10.2 Der Auftragnehmer unterstützt den Auftraggeber bei der Untersuchung, Schadensbegrenzung und Behebung der Verstöße.

10.3 Sollten die personenbezogenen Daten die unter dieser Vereinbarung verarbeitet werden beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang relevanten Stellen unverzüglich auch darüber informieren, dass die Herrschaft über die Daten beim Auftraggeber liegt.

10.4 Soweit Prüfungen der Datenschutzaufsichtsbehörden durchgeführt werden, verpflichtet sich der Auftragnehmer das Ergebnis dem Auftraggeber bekannt zu geben, soweit es die Verarbeitung der personenbezogenen Daten unter diesem Vertrag betrifft. Die im Prüfbericht feststellten Mängel wird der Auftragnehmer unverzüglich abstellen und den Auftraggeber darüber informieren.

11. Unterauftragnehmer

11.1 Der Auftraggeber berechtigt den Auftragnehmer, Subunternehmer in die Auftragsverarbeitung einzubeziehen. Einer gesonderten vorherigen Zustimmung durch den Auftraggeber bedarf es nicht. Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung eines Subunternehmers mindestens 6 Wochen vor der geplanten Umstellung in Textform. Der Auftraggeber kann der Änderung innerhalb von 3 Wochen ab Erhalt der Information in Textform aus wichtigem Grund widersprechen. Ein Widerspruch zieht ein beidseitiges, außerordentliches Kündigungsrecht des Hauptvertrages nach sich. Erfolgt kein Widerspruch innerhalb der Frist, gilt die Zustimmung als erteilt.

11.2 Der Auftragnehmer hat vertraglich sicherzustellen, dass die in diesem Vertrag vereinbarten Regelungen auch gegenüber Unterauftragnehmern gelten. Der Vertrag des Auftragnehmers mit dem Subunternehmer muss schriftlich oder in elektronischem Format abgeschlossen werden.

11.3 Eine Beauftragung von Subunternehmern in Drittstaaten erfolgt nur, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

11.4 Der Auftraggeber erteilt hiermit zudem explizit seine Zustimmung zur Beauftragung der in der Anlage aufgeführten Unterauftragnehmer.

11.5 Der Auftragnehmer stellt sicher, dass der Auftraggeber gegenüber dem Unterauftragnehmer dieselben Weisungsrechte und Kontrollrechte wie gegenüber dem Auftragnehmer nach diesem Vertrag hat. Kommt ein Unterauftragnehmer seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten jenes Unterauftragnehmers.

11.6 Auf Verlangen des Auftraggebers hat der Auftragnehmer den Abschluss der mit dem Subunternehmer geschlossenen Vereinbarungen gegenüber dem Auftraggeber nachzuweisen. Der Nachweis hat in Textform zu erfolgen.

12. Löschung und Rückgabe personenbezogener Daten

12.1 Der Auftragnehmer ist nach Abschluss der jeweils im Hauptvertrag vereinbarten Verarbeitungsleistungen verpflichtet, alle personenbezogenen Daten, die er im Zuge der Auftragsverarbeitung erhalten hat innerhalb von 35 Tagen zu löschen. Dies schließt insbesondere die Ergebnisse der Datenverarbeitung, überlassene Dokumente und überlassene Datenträger und Kopien der personenbezogenen Daten mit ein. Die Pflicht zur Löschung besteht nicht, sofern der Auftragnehmer nach dem Recht der EU oder der Mitgliedstaaten zur weiteren Speicherung der Daten gesetzlich verpflichtet ist. Besteht eine weitere Verpflichtung zur Speicherung, hat der Auftragnehmer die Verarbeitung der personenbezogenen Daten einzuschränken und die Daten nur für die Zwecke zu nutzen, für die eine Verpflichtung zur Speicherung besteht. Die Pflichten zur Sicherheit der Verarbeitung bestehen für den Zeitraum der Speicherung fort. Der Auftragnehmer hat die Daten innerhalb von 35 Tagen zu löschen, sobald die Pflicht zur Speicherung entfällt.

Hinweis: Eine Löschung innerhalb von weniger als 35 Tagen ist aufgrund des etablierten Backupkonzeptes der verwendeten Datenbanken technisch nicht möglich.

12.2 Die Löschung hat so zu erfolgen, dass die Daten nicht wiederherstellbar sind.

12.3 Die Vorgänge sind mit Angabe von Datum zu protokollieren.

12.4 Auf Wunsch des Auftraggebers werden personenbezogene Daten, die der Auftragnehmer im Zuge der Auftragsverarbeitung vom Auftraggeber erhalten hat, nach Abschluss der jeweils im Hauptvertrag vereinbarten Verarbeitungsleistungen dem Auftraggeber innerhalb von 35 Tagen zurückgegeben.

13. Haftung

13.1 Die Parteien haften gem. Art. 82 DSGVO.

13.2 Im Innenverhältnis haftet der Auftragnehmer nur für in seiner Sphäre liegendes Verschulden gegenüber dem Auftraggeber. Die Haftungsregelungen des Hauptvertrags bleiben im Innenverhältnis unberührt.

14. Schlussbestimmungen

14.1 Die Einrede des Zurückbehaltungsrechts im Sinne von § 273 BGB wird hinsichtlich der für den Auftraggeber verarbeiteten Daten ausgeschlossen.

14.2 Die Anlage oder im Falle mehrerer abgeschlossener Hauptverträge die Anlagen zu diesem Vertrag sind wesentlicher Bestandteil desselben.

14.3 Für Änderungen oder Nebenabreden ist die Schriftform oder ein elektronisches Format erforderlich. Dies gilt auch für Änderungen dieses Formerfordernisses.

14.4 Sofern zwischen den Parteien wegen der in dieser AV festgelegten oder in Bezug genommenen Leistungen bereits Vereinbarungen zur Datenverarbeitung im Auftrag bestehen, werden diese Vereinbarungen mit Wirksamkeit dieser AV aufgehoben und regelt diese AV abschließend die insoweit bestehenden Rechte und Pflichten der Parteien.

14.5 Die Parteien sind sich einig, dass diese AV mittels elektronischer Signatur unterzeichnet werden soll und alternativ in Schriftform abgefasst werden kann. Sie kann mittels elektronischer Signatur wirksam dergestalt unterzeichnet werden, dass die Parteien die jeweils von ihnen unterzeichneten Exemplare in elektronischer Form als pdf austauschen. Eine Unterzeichnung kann ebenfalls durch den digitalen Online-Registrierungsprozess des Auftragnehmers erfolgen. Der Auftraggeber garantiert, dass die signierende oder den Online-Registrierungsprozess abschließende Person (Bevollmächtigter) über sämtliche zum Abschluss dieser AV erforderlichen Vollmachten und Vertretungsberechtigungen verfügt. Der Auftraggeber wird sich sämtliche Erklärungen des Bevollmächtigten zurechnen lassen. Änderungen dieser AV einschließlich ihrer Anhänge unterliegen ebenfalls den in dieser Ziffer geregelten Formerfordernissen.

14.6 Erweist sich eine Bestimmung dieser Vereinbarung als unwirksam, so berührt dies die Wirksamkeit der übrigen Bestimmungen der Vereinbarung nicht.

14.7 Diese AV unterliegt deutschem Recht. Gerichtsstand für Streitigkeiten aus dieser AV entspricht der Regelung des Hauptvertrags.

Anlage zum Auftragsverarbeitungsvertrag

1. Gegenstand des Auftrages

1.1 Gegenstand des Auftrages

Der Auftragsverarbeiter ist Hersteller und Anbieter von Unternehmenssoftware zur strukturierten Unterstützung von Prüf-, Dokumentations-, Analyse-, Review- und Entscheidungsprozessen im Zusammenhang mit gewerblichen Nebenkostenabrechnungen und zugehörigen Dokumentationen. Hierzu zählen der Vertrieb, die Beratung, Implementierung sowie Integration, Hosting und Support der Lösungen. Die Datenerhebung, -verarbeitung und -nutzung erfolgt zur Ausübung der oben angegebenen Zwecke.

1.2 Umfang, Art und Zweck der Datenverarbeitung

a) NK-Audit als Software-as-a-Service-Lösung

Die Verarbeitung personenbezogener Daten erfolgt zum Zweck der Bereitstellung der Software-as-a-Service-Anwendung NK-Audit, mit deren Hilfe die Arbeits-, Team- und Projektorganisation des Auftraggebers erfolgt. Das bedeutet insbesondere:

• Hosting (Daten, Applikation, System, Komponenten)
• Betrieb (Applikation, System, Komponenten)
• Wartung/Pflege (Applikation, System, Komponenten)
• Support (Applikation, System, Komponenten)
• Weiterentwicklung (Applikation, System, Komponenten)

Zu diesem Zweck werden personenbezogene Daten erfasst, gespeichert, ausgelesen, organisiert und geordnet, in Benutzeroberflächen angezeigt sowie gelöscht.

b) KI-gestützte Funktionen

Soweit innerhalb von NK-Audit KI-gestützte Funktionen bereitgestellt werden, erfolgt die Verarbeitung personenbezogener Daten ausschließlich zur Erbringung der vereinbarten Funktionen innerhalb der Anwendung.

Eine Verwendung personenbezogener Daten des Auftraggebers zum Training allgemeiner KI-Modelle erfolgt nicht, sofern nicht ausdrücklich schriftlich vereinbart.

Der Auftragnehmer kann zur Bereitstellung einzelner KI-Funktionen spezialisierte technische Dienstleister einsetzen. Die jeweils eingesetzten Unterauftragsverarbeiter ergeben sich aus der aktuellen Liste der Unterauftragsverarbeiter.

KI-gestützte Funktionen dienen ausschließlich der Unterstützung fachlicher Prozesse und ersetzen keine rechtliche, steuerliche oder sonstige verbindliche fachliche Prüfung.

Soweit technisch vorgesehen, können KI-Funktionen durch den Auftraggeber deaktiviert oder eingeschränkt werden.

1.3 Kreis der Betroffenen und Art der Daten

Zu folgenden Personengruppen werden personenbezogene Daten erhoben, verarbeitet und genutzt, sofern diese zur Erfüllung des genannten Zweckes erforderlich sind:

Interne und externe Mitarbeiter (z. B. Freelancer) & Aushilfen des Auftraggebers. Berufliche Kontakt- und (Arbeits-) Organisationsdaten zur Verwaltung von Usern – Nutzer- und Kontaktdaten (Name, Vorname und E-Mail). Sowie Rollen-/Berechtigungsdaten, Objekt- und Standortdaten, Vertrags- und Abrechnungsdaten, Dokumenteninhalte, Prüfergebnisse, Kommentare, Aufgaben, Statusdaten, technische Nutzungs- und Protokolldaten.

2. Weisungsberechtigte Personen

2.1 Weisungsberechtigte Personen des Auftraggebers

Weisungen dürfen nur durch Personen erteilt werden, welche aufgrund ihrer organschaftlichen Stellung oder ihrer besonderen Funktion den Auftraggeber insoweit vertreten (z. B. Datenschutzbeauftragter, Chief Security Officer, etc.).

2.2 Weisungsempfänger beim Auftragnehmer

Name: Röckl, Tobias und Reicheneder, Annika

Funktion: Geschäftsführer

Kommunikationskanal für Weisungen: [email protected]

3. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit nicht benannt. Datenschutzbezogene Anfragen können an folgenden Datenschutzkontakt gerichtet werden:

Röckl Consulting GmbH

St.-Michael-Str. 23

94501 Aldersbach

E-Mail: [email protected]

Anlage: Verzeichnis Unterauftragsverarbeiter

Hetzner – Primäres Hosting und Datensicherung (Deutschland)

Cloudflare – Edge-Auslieferung & Schutz (Front Door / CDN)

Google Cloud (Vertex AI) – Optionale KI-Funktion

Anlage 4: Technische und organisatorische Maßnahmen

4.1 Zutrittskontrolle zu Räumlichkeiten und Einrichtungen

1. a) Der Zutritt zu Geschäftsräumen und Arbeitsbereichen von Röckl Consulting ist auf berechtigte Personen beschränkt. Soweit Server durch Unterauftragnehmer betrieben werden, gelten die physischen Sicherheitsmaßnahmen des jeweiligen Rechenzentrumsbetreibers.
2. b) Der Zugang zu den Räumlichkeiten des Auftragnehmers ist durch Schließsysteme gegen Zutritt Unbefugter gesichert. Zugangsmittel werden ausschließlich an berechtigte Personen ausgegeben.
3. c) Die Räumlichkeiten des Auftragnehmers sind außerhalb der Betriebszeiten verschlossen. Die produktive Verarbeitung personenbezogener Daten des Auftraggebers erfolgt ausschließlich in den Rechenzentren der in der Anlage genannten Unterauftragnehmer. In den Räumlichkeiten des Auftragnehmers befinden sich keine Systeme, auf denen personenbezogene Daten des Auftraggebers dauerhaft gespeichert werden. Der Zutrittsschutz beim Auftragnehmer beschränkt sich daher auf Arbeitsplätze, von denen aus im Rahmen von Support- und Wartungstätigkeiten auf Daten zugegriffen werden kann; für diese gelten die Maßnahmen nach den Ziffern 4.2 und 4.3.
4. d) Zur Durchführung des SaaS-Betriebs eingesetzte Server werden in professionellen Rechenzentren von Unterauftragnehmern betrieben, die angemessene physische Sicherheitsmaßnahmen, Zutrittskontrollen und Umweltschutzmaßnahmen vorhalten.

4.2 Zugangskontrolle

1. a) Die zur Durchführung des Auftrags vom Auftragsverarbeiter eingesetzten informationsverarbeitenden Systeme (Client- und Serversysteme) sind durch Authentifikations- und Autorisationssysteme geschützt.
2. b) Identifikations- und Authentifikationsinformationen werden nur an die mit der Durchführung des Auftrags beauftragten Personen und lediglich in dem für die jeweilige Aufgabe erforderlichen Umfang vergeben.
3. c) Jede Vergabe von Zugangsberechtigungen wird für die Laufzeit des Auftrags dokumentiert.
4. d) Alle Zugänge und Kennungen („Accounts“) werden ausschließlich personenspezifisch vergeben. Die Benutzung von Accounts durch mehrere Personen (Gruppen-Accounts) unterbleibt grundsätzlich.
5. e) Identifikations- und Authentifikationsinformationen werden ausschließlich persönlich verwendet, ein Initialpasswort wird unverzüglich nach Erhalt durch die berechtigte Person auf ein nur ihr bekanntes Passwort umgesetzt; jegliche Weitergabe unterbleibt. Sofern Unbefugte Kenntnis von Zugangsdaten erhalten, zeigt der Auftragsverarbeiter dies dem Verantwortlichen unverzüglich an.
6. f) Die Wahl der Passwörter erfolgt in ausreichender Komplexität und Güte: mindestens 10 Zeichen, drei der vier Kategorien (Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen), keine Verwendung generischer Begriffe oder von Eigennamen sowie die Unzulässigkeit mindestens der letzten drei verwendeten Passwörter.
7. g) Der Auftragsverarbeiter hält Authentifikationsdaten gegenüber Unbefugten streng geheim, bewahrt diese nicht im Klartext auf und verwendet diese ausschließlich unter Einsatz geeigneter Verschlüsselung oder als unumkehrbare kryptographische Prüfsumme.
8. h) Für die Verschlüsselung wird der AES-Algorithmus mit 256 Bit und für Password-Hashes der HMAC-Algorithmus mit 512 Bit verwendet.
9. i) Jede Herausgabe von Hardware an Mitarbeiter des Auftragnehmers wird für die Dauer des Auftrags dokumentiert.

4.3 Zugriffskontrolle

1. a) Sofern personenbezogene Daten auf informationsverarbeitenden Systemen des Auftragsverarbeiters gespeichert sind, ist für sämtliche Zugriffe ein abgestuftes und geeignet granulares Rechtesystem eingerichtet und technisch implementiert. Die Zugriffsrechte sind so gestaltet, dass sie nur den für die Leistungserbringung eingesetzten Mitarbeitern jeweils im notwendigen Umfang Zugriff erlauben. Die Vergabe von Administratorenrechten ist auf das zwingend erforderliche Maß begrenzt.
2. b) Alle verarbeiteten Daten werden verschlüsselt übertragen. Alle personenbezogenen Daten werden verschlüsselt in den Datenbanksystemen abgelegt. Jeder Zugriff erfolgt ebenfalls über verschlüsselte Datenkanäle.
3. c) Sämtliche Zugriffe auf personenbezogene Daten (einschließlich des lesenden, verändernden und löschenden Zugriffs) werden nach Benutzer, Datum, Uhrzeit und betroffenen Daten mindestens für die Dauer von 90 Tagen protokolliert.
4. d) Alle im Rahmen der Auftragsverarbeitung verwendeten Endgeräte sind mit automatischer Bildschirmsperre bei Inaktivität versehen.
5. e) In den Räumen des Auftragnehmers herrscht eine Clean-Desk-Policy; Schreibtische und sonstige Oberflächen sind frei von jeglichen Unterlagen zu hinterlassen.

4.4 Eingabekontrolle

1. a) Die Eingabe, Änderung und Löschung von Daten in den verwendeten Server-Systemen wird automatisiert protokolliert.
2. b) Die Eingabe, Änderung und Löschung ist durch das Verwenden individueller Benutzernamen nachvollziehbar.
3. c) Die Vergabe von Rechten erfolgt auf Basis eines Berechtigungskonzepts.
4. d) Dateien und Dokumente werden in Dokumentenmanagement-Systemen gespeichert, die Eingaben und Änderungen automatisch mit Datum und Benutzerkennung protokollieren.
5. e) Vor der Installation neuer Programme und Updates wird deren Integrität durch Funktionstests sichergestellt.

4.5 Auftragskontrolle

1. a) Über die allgemeinen Grundsätze sowie die spezifischen Anforderungen des Datenschutzes, einschließlich der Datensicherheit, werden die beschäftigten Personen vor dem Einsatz beim Auftragsverarbeiter und sodann regelmäßig umfassend geschult.
2. b) Die beim Auftragsverarbeiter zur Durchführung des Auftrags beschäftigten Personen werden auf die Vertraulichkeit und den Schutz personenbezogener Daten verpflichtet.
3. c) Die Vergabe von Aufträgen an Unterauftragnehmer erfolgt ausschließlich schriftlich, nach Abschluss eines Auftragsverarbeitungsvertrages und eingehender Prüfung der beim Unterauftragnehmer etablierten technischen und organisatorischen Maßnahmen.
4. d) Es wird ein zentrales Verzeichnis aller abgeschlossenen Auftragsverarbeitungsverträge der beauftragten Subunternehmer geführt.
5. e) Nach Beendigung der Zusammenarbeit mit Unterauftragnehmern werden diese angewiesen, sämtliche verarbeiteten personenbezogenen Daten ordnungsgemäß zu löschen.

4.6 Getrennte Verarbeitung von Daten / Trennungskontrolle

1. a) Sofern personenbezogene Daten auf informationsverarbeitenden Systemen des Auftragsverarbeiters gespeichert sind, wird eine vollständige Trennung der Daten von Daten anderer Auftraggeber realisiert. Dadurch wird die jederzeitige und vollständige Identifizier- und Löschbarkeit sichergestellt, z. B. durch Speicherung in einem eigenen Mandanten, einer eigenen Partition oder unter eindeutigem Identifier.
2. b) Eine entsprechende Trennung wird auch für personenbezogene Daten realisiert, wenn sie zu verschiedenen Zwecken gespeichert werden.

4.7 Weitergabekontrolle

1. a) Personenbezogene Daten können nicht unbefugt kopiert (insbesondere auf externe Datenträger), weitergegeben und/oder gelöscht werden.
2. b) Datenträger sowie sämtliche Dokumente mit personenbezogenen Daten (einschließlich Sicherungskopien) werden in ordnungsgemäß verschlossenen Datensicherungsschränken verwahrt, soweit sie nicht in Bearbeitung sind.
3. c) Personenbezogene Daten des Auftraggebers werden ausschließlich digital innerhalb der Anwendung verarbeitet. Ausdrucke oder sonstige Papierunterlagen mit personenbezogenen Daten des Auftraggebers entstehen im Regelbetrieb nicht. Sollten im Einzelfall Ausdrucke erforderlich werden, werden diese unverzüglich nach Gebrauch datenschutzgerecht vernichtet.
4. d) Unterlagen mit personenbezogenen Daten werden, auch bei kurzzeitigem Verlassen des Arbeitsplatzes, vor unberechtigtem Zugriff geschützt („Clean Desk Policy“).
5. e) Die beschäftigten Personen nutzen Client-Systeme, die ausreichend gesichert sind. Alle Client-Systeme sind mit Firewall und Virenschutz versehen und werden regelmäßig auf gängige Sicherheitsstandards überprüft.
6. f) Auf Server-Systemen mit nicht-flüchtigem Speicher werden personenbezogene Daten nicht über den unmittelbar zur Vertragsdurchführung erforderlichen Umfang hinaus gespeichert.
7. g) In den Räumlichkeiten des Auftraggebers bereitgestellte WLAN-Zugänge sind verschlüsselt.
8. h) Besteht eine Pflicht zur Löschung von personenbezogenen Daten, wird der Auftragsverarbeiter eine datenschutzgerechte, nicht wiederherstellbare Löschung sämtlicher Datenträger durchführen sowie nicht-elektronisch löschbare Datenträger gemäß DIN 32757 Sicherheitsstufe 3 vernichten. Defekte magnetische Datenträger werden mittels eines zugelassenen Löschgerätes nach DIN 33858 gelöscht. Die Löschung wird protokolliert.

4.8 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

1. a) Vom Auftragsverarbeiter zur Durchführung des Auftrags verwendete Server-Systeme werden durch Firewalls geschützt, welche diese Server-Systeme gegen nicht betriebsnotwendige Zugriffe sichern.
2. b) Sämtliche Software wird aktualisiert gehalten und sicherheitsrelevante Aktualisierungen werden unverzüglich nach allgemeiner Verfügbarkeit und erfolgreichem Test eingespielt. Kritische sicherheitsrelevante Aktualisierungen werden priorisiert geprüft und innerhalb angemessener Zeiträume eingespielt.
3. c) Originaldokumente und rechtmäßig gespeicherte personenbezogene Daten werden durch technische und organisatorische Maßnahmen vor Verlust durch zufällige, fahrlässige oder vorsätzliche Löschung oder Veränderung geschützt.
4. d) Sicherungskopien werden nach denselben Maßgaben wie Originaldaten behandelt, insbesondere gegen unbefugten Zugriff gesichert.
5. e) Sämtliche verwendeten Server-Systeme verfügen über Feuer- und Rauchmeldeanlagen, Feuerlöschsysteme, klimatisierte Serverräume, Schutzmaßnahmen gegen Überspannung, Videoüberwachung sowie Alarmmeldungssysteme bei unberechtigten Zutritten.
6. f) Sämtliche Speichersysteme verfügen über redundante Speichermedien (z. B. RAID-Systeme, Spiegelungen oder vergleichbar).
7. g) Der Auftragnehmer verfügt über ein Backup- und Recovery-Konzept, das die Wiederherstellung von Backups der letzten 30 Tage ermöglicht.
8. h) Die Datenspeicherung erfolgt getrennt von der Speicherung von Betriebs- und Anwendungssystemen.
9. i) Die Speicherung von Daten und Backups erfolgt in mindestens zwei getrennten Brandschutzzonen.
10. j) Die Datenwiederherstellung wird regelmäßig getestet und das Testergebnis protokolliert.

4.9 Datenschutzfreundliche Voreinstellungen, Privacy by Default

1. a) Es werden nicht mehr personenbezogene Daten erhoben, als für den jeweiligen Zweck erforderlich sind.
2. b) Durch geeignete technische Maßnahmen (selbstständiges Anstoßen und Bestätigen des Löschvorgangs) wird die einfache Ausübung des Widerrufsrechts der Betroffenen gewährleistet.

4.10 Organisationskontrolle

1. a) Datenschutzbezogene Zuständigkeiten sind intern geregelt; soweit gesetzlich erforderlich, wird ein Datenschutzbeauftragter benannt.
2. b) Der interne Mitarbeiter mit datenschutzbezogener Zuständigkeit („Lead-Function Datenschutz“) unterstützt die Umsetzung und Koordination datenschutzbezogener Maßnahmen.
3. c) Sämtliche Mitarbeiter des Auftragnehmers werden mindestens einmal pro Jahr in Datenschutzfragen und vorliegenden Datenschutzkonzepten geschult. Schulungsmaterialien liegen schriftlich und als Schulungsvideos vor.
4. d) Für Mitarbeiter des Auftragnehmers gelten interne Richtlinien und Arbeitsanweisungen zu Umgang mit personenbezogenen Daten im Home-Office / Mobile-Office, Nutzung des betrieblichen Internetzugangs und E-Mail-Accounts sowie Nutzung privater Geräte für betriebliche Tätigkeiten.
5. e) Alle Mitarbeiter des Auftragnehmers werden schriftlich auf die datenschutzrechtliche Vertraulichkeit verpflichtet.

4.11 Regelmäßige Überprüfung und Wirksamkeitskontrolle

1. a) Die in diesem Anhang aufgeführten Maßnahmen werden mindestens einmal jährlich durch die Geschäftsführung und die IT-Leitung in Zusammenarbeit mit der datenschutzbezogenen Ansprechperson überprüft.
2. b) Werden bei der Überprüfung Änderungen technologischer Standards oder organisatorischer Prozesse festgestellt, die eine Anpassung der Maßnahmen erforderlich machen, werden die erforderlichen Anpassungen unter Beachtung des Grundsatzes der Angemessenheit unverzüglich umgesetzt.
3. c) Änderungen werden zudem auf Ad-hoc-Basis durchgeführt, sofern dies aus Gründen der Sicherheit erforderlich ist.
4. d) Die Überprüfung sowie daraus resultierende Änderungen werden dokumentiert und abgelegt.