Auftragsverarbeitungsvertrag

Dieser Vertrag wird geschlossen zwischen der Praxis, für die der Zugang eingerichtet wurde, als Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO (nachfolgend „Auftraggeber“), und der Zahnimarkt Trading GmbH, Breslauer Str. 3, 85386 Eching, Deutschland als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO (nachfolgend „Auftragnehmer“).

Der Vertrag konkretisiert die Pflichten der Parteien aus Art. 28 DSGVO für die Verarbeitung personenbezogener Daten, die der Auftragnehmer im Rahmen der Nutzung der Clamora-Plattform im Auftrag des Auftraggebers durchführt. Er gilt ergänzend zu den Allgemeinen Geschäftsbedingungen und geht diesen im Anwendungsbereich der Datenverarbeitung vor. Der Abschluss erfolgt elektronisch; dies genügt der Form des Art. 28 Abs. 9 DSGVO.

Zusammen mit diesem Vertrag nimmt der Auftraggeber die Verpflichtungserklärung zur Geheimhaltung nach § 203 StGB an. Sie regelt die strafrechtlich gebotene Verpflichtung und Belehrung der beim Auftragnehmer und bei den Unterauftragsverarbeitern eingesetzten Personen und geht diesem Vertrag im Anwendungsbereich des Berufsgeheimnisses vor. Eine Vereinbarung nach Art. 28 DSGVO ersetzt diese Verpflichtung nicht.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

1. Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer zum Zweck der Bereitstellung und des Betriebs der Clamora-Plattform gemäß den Allgemeinen Geschäftsbedingungen.
2. Die Verarbeitung umfasst das Speichern, Ordnen, Auslesen, Verändern, Zusammenführen, Übermitteln an eingesetzte Unterauftragsverarbeiter und Löschen der vom Auftraggeber eingestellten oder in der Plattform erzeugten Daten.
3. Die Verarbeitung erfolgt ausschließlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum, soweit § 8 nichts Abweichendes bestimmt.
4. Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrages zuzüglich der in § 10 geregelten Fristen für Rückgabe und Löschung.

§ 2 Art der Daten und Kategorien betroffener Personen

Gegenstand der Verarbeitung sind folgende Datenarten:

• Stamm- und Kontaktdaten der Praxis (Name, Anschrift, Kommunikationsdaten, Praxisprofil)
• Nutzerdaten der Beschäftigten des Auftraggebers (Name, dienstliche E-Mail-Adresse, Position, Rolle, Anmelde- und Nutzungsprotokolle)
• Organisations- und Planungsdaten der Praxis (Arbeitszeiten, Zuständigkeiten, Aufgaben, Schulungsnachweise), soweit vom Auftraggeber eingestellt
• Inhalte der vom Auftraggeber eingestellten Dokumente sowie daraus erzeugte Zusammenfassungen, Textabschnitte und Vektorrepräsentationen
• Inhalte der Konversationen mit dem Assistenten sowie daraus erzeugte Entwürfe und Notizen
• Bedarfs-, Bestell- und Abrechnungsdaten der Praxis
• Daten aus vom Auftraggeber freigeschalteten Konnektoren (E-Mail, Kalender, Dateiablage), ausschließlich lesend und nur im vom Auftraggeber freigegebenen Umfang

Kategorien betroffener Personen sind:

• Beschäftigte und Mitarbeitende des Auftraggebers, einschließlich Auszubildender
• Inhaberinnen und Inhaber sowie Leitungspersonen der Praxis
• Ansprechpersonen von Lieferanten, Dienstleistern und sonstigen Geschäftspartnern des Auftraggebers
• Weitere Personen, deren Daten in eingestellten Dokumenten oder freigegebenen Konnektorinhalten enthalten sind

Die Plattform ist nicht für die Verarbeitung von Patientendaten und nicht für die Verarbeitung von Gesundheitsdaten im Sinne des Art. 9 DSGVO bestimmt. Der Auftraggeber ist nach § 5 Ziffer 2 der Allgemeinen Geschäftsbedingungen verpflichtet, solche Daten nicht einzustellen. Der Auftragnehmer erbringt keine auf die Verarbeitung von Gesundheitsdaten gerichtete Leistung, bietet hierfür keine Funktion an und fordert solche Daten zu keinem Zeitpunkt an.

Der Auftragnehmer weist ausdrücklich darauf hin, dass die Plattform keine technische Vorkehrung enthält, die das Einstellen solcher Daten verhindert. Gelangen sie entgegen dem Verbot dennoch in die Plattform, werden sie in denselben Systemen verarbeitet wie alle übrigen Inhalte des Auftraggebers, insbesondere in der Datenbank und der Dateiablage sowie — je nach genutzter Funktion — bei den in Anlage 2 aufgeführten Diensten für Texterkennung, Vektorrepräsentation und Sprachmodelle. Der Auftraggeber berücksichtigt dies bei der Beurteilung seiner eigenen Pflichten nach § 203 StGB und dem zahnärztlichen Berufsrecht.

Für solche Daten gelten die Schutzmaßnahmen dieses Vertrages einschließlich der Verpflichtung nach § 9 vom Zeitpunkt ihres Eingangs an unverändert und in vollem Umfang. Der Auftraggeber wirkt auf die unverzügliche Entfernung hin; der Auftragnehmer unterstützt ihn dabei und löscht die betroffenen Inhalte auf Weisung einschließlich der abgeleiteten Textabschnitte, Zusammenfassungen und Vektorrepräsentationen.

§ 3 Weisungsrecht des Auftraggebers

1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Die Nutzung der Plattform durch den Auftraggeber und dessen Einstellungen in der Plattform gelten als Weisung. Das gilt auch für die Freischaltung eines Konnektors, den vom Auftraggeber festgelegten Berechtigungsumfang und die Bestätigung einer einzelnen Aktion in einem verbundenen System. Weisungen erfolgen im Übrigen in Textform an info@zahnimarkt.com und werden vom Auftragnehmer dokumentiert.
3. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung bis zur Bestätigung oder Änderung durch den Auftraggeber auszusetzen.
4. Weisungsberechtigt auf Seiten des Auftraggebers sind die in der Plattform mit der Rolle „Inhaber“ oder „Praxismanagement“ geführten Personen.

§ 4 Pflichten des Auftragnehmers

1. Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen des Auftrags und dieses Vertrages. Eine Nutzung für eigene Zwecke, insbesondere zum Training von KI-Modellen, findet nicht statt.
2. Der Auftragnehmer verpflichtet alle zur Verarbeitung befugten Personen schriftlich zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen, und stellt deren Fortbestand nach Beendigung der Tätigkeit sicher.
3. Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und überprüft sie regelmäßig. Maßnahmen dürfen weiterentwickelt werden, solange das vereinbarte Schutzniveau nicht unterschritten wird.
4. Der Auftragnehmer führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten im Auftrag nach Art. 30 Abs. 2 DSGVO und stellt es dem Auftraggeber auf Anfrage bereit.
5. Der Auftragnehmer unterstützt den Auftraggeber nach Art. 28 Abs. 3 lit. e und f DSGVO bei der Erfüllung der Betroffenenrechte, bei Datenschutz-Folgenabschätzungen, bei der vorherigen Konsultation der Aufsichtsbehörde sowie bei Meldepflichten nach Art. 33 und 34 DSGVO. Ein über den vertraglich vereinbarten Leistungsumfang deutlich hinausgehender Aufwand kann nach Ankündigung nach Aufwand berechnet werden.
6. Der Auftragnehmer benennt eine für den Datenschutz zuständige Kontaktstelle. Diese ist erreichbar unter info@zahnimarkt.com.
7. Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen.

§ 5 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen (Art. 28 Abs. 2 Satz 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2.
2. Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vor der Beauftragung eines neuen oder dem Wechsel eines bestehenden Unterauftragsverarbeiters in Textform. Der Auftraggeber kann der Änderung innerhalb von vier Wochen ab Zugang der Information aus wichtigem, datenschutzbezogenem Grund widersprechen.
3. Widerspricht der Auftraggeber und kann die Leistung ohne den betroffenen Unterauftragsverarbeiter nicht mit zumutbarem Aufwand erbracht werden, ist jede Partei berechtigt, den Nutzungsvertrag mit Wirkung zum geplanten Wirksamwerden der Änderung zu kündigen.
4. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter durch Vertrag Datenschutzpflichten auf, die den Pflichten dieses Vertrages entsprechen, einschließlich der Verpflichtung zur Geheimhaltung und der Belehrung nach § 203 Abs. 4 StGB (§ 9). Er prüft deren Eignung vor der Beauftragung und überwacht sie regelmäßig.
5. Der Auftragnehmer haftet gegenüber dem Auftraggeber dafür, dass die Unterauftragsverarbeiter ihre Pflichten einhalten.
6. Nebenleistungen ohne unmittelbaren Bezug zur Verarbeitung der Auftragsdaten — etwa Telekommunikationsdienste, Post- und Transportdienste oder Reinigungsdienste — sind keine Unterauftragsverhältnisse im Sinne dieses Paragraphen.

§ 6 Betroffenenrechte

1. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.
2. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch nachzukommen. Die Plattform stellt hierfür Export- und Löschfunktionen bereit.
3. Berichtigungen, Löschungen und Einschränkungen von Daten nimmt der Auftragnehmer nur auf Weisung des Auftraggebers vor, soweit sie nicht durch den Auftraggeber selbst in der Plattform durchgeführt werden können.

§ 7 Verletzung des Schutzes personenbezogener Daten

1. Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die Auftragsdaten betrifft, unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform.
2. Die Meldung enthält, soweit verfügbar: eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie eine Kontaktstelle für Rückfragen.
3. Der Auftragnehmer unterstützt den Auftraggeber bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO und dokumentiert alle Vorfälle einschließlich der ergriffenen Abhilfemaßnahmen.
4. Meldungen gegenüber der Aufsichtsbehörde oder betroffenen Personen nimmt ausschließlich der Auftraggeber vor, soweit nicht ausdrücklich etwas anderes vereinbart wird.

§ 8 Verarbeitung in Drittländern

1. Eine Verarbeitung von Auftragsdaten außerhalb der EU beziehungsweise des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.
2. Erfolgt eine Übermittlung an einen Unterauftragsverarbeiter mit Sitz in einem Drittland, stützt der Auftragnehmer diese auf einen Angemessenheitsbeschluss der Europäischen Kommission oder auf Standarddatenschutzklauseln nebst ergänzenden Maßnahmen und dokumentiert die durchgeführte Übermittlungsfolgenabschätzung.
3. Die in Anlage 2 aufgeführten Dienste werden so konfiguriert, dass die Speicherung und Verarbeitung der Auftragsdaten in der EU beziehungsweise im EWR erfolgt. Wo ein Anbieter seinen Sitz in einem Drittland hat, ist dies in Anlage 2 kenntlich gemacht.
4. Sprachmodelle und die Erzeugung von Vektorrepräsentationen werden ausschließlich über Amazon Bedrock in der Region Frankfurt (eu-central-1) betrieben. Auftragsverarbeiter dieser Verarbeitung ist Amazon Web Services; die Anbieter der Modelle sind nicht Empfänger der Daten und erhalten weder die Eingaben noch die Ausgaben. Eine Nutzung der Inhalte zum Training von Modellen findet nicht statt.
5. Eine unmittelbare Nutzung der Schnittstellen einzelner Modellanbieter findet nicht statt. Auftragsdaten werden zu diesem Zweck nicht an Stellen außerhalb der EU beziehungsweise des EWR übermittelt.

§ 9 Berufsgeheimnis nach § 203 StGB

1. Den Parteien ist bekannt, dass der Auftraggeber und seine Berufsträger einer Schweigepflicht nach § 203 Abs. 1 StGB unterliegen und dass der Auftragnehmer als sonstige mitwirkende Person im Sinne des § 203 Abs. 3 Satz 2 StGB tätig wird.
2. Die Einzelheiten der Verpflichtung zur Geheimhaltung, der Belehrung über die Strafbarkeit und der Einbeziehung weiterer mitwirkender Personen regelt die Verpflichtungserklärung zur Geheimhaltung, die der Auftraggeber zusammen mit diesem Vertrag annimmt. Sie geht diesem Vertrag im Anwendungsbereich des Berufsgeheimnisses vor; die nachfolgenden Ziffern bleiben als Mindestinhalt daneben bestehen.
3. Der Auftragnehmer verpflichtet alle Personen, die im Rahmen dieses Auftrags Zugang zu geschützten Informationen erhalten können, nach § 203 Abs. 4 StGB zur Geheimhaltung und belehrt sie über die strafrechtlichen Folgen einer unbefugten Offenbarung. Die Verpflichtung besteht nach Beendigung der Tätigkeit fort.
4. Der Auftragnehmer erlegt diese Verpflichtung jedem eingesetzten Unterauftragsverarbeiter auf und weist dies dem Auftraggeber auf Anfrage nach. Der Auftraggeber erteilt die nach § 203 Abs. 3 Satz 3 StGB erforderliche Einwilligung in die Heranziehung der in Anlage 2 aufgeführten mitwirkenden Personen.
5. Der Auftragnehmer offenbart geschützte Informationen nicht gegenüber Dritten. Behördliche oder gerichtliche Auskunftsverlangen zeigt er dem Auftraggeber unverzüglich an, soweit dies rechtlich zulässig ist, und beschränkt eine etwaige Herausgabe auf das rechtlich zwingend Gebotene.

§ 10 Rückgabe und Löschung nach Vertragsende

1. Nach Beendigung des Nutzungsvertrages stellt der Auftragnehmer dem Auftraggeber dessen Daten für 30 Tage zum Export in einem gängigen, maschinenlesbaren Format bereit.
2. Nach Ablauf der Frist nach Ziffer 1 löscht der Auftragnehmer die Auftragsdaten in den produktiven Systemen innerhalb von 30 Tagen und in den Sicherungskopien spätestens mit Ablauf des jeweiligen Sicherungszyklus, längstens innerhalb von 90 Tagen.
3. Auf Weisung des Auftraggebers erfolgt die Löschung früher. Der Auftragnehmer bestätigt die Löschung auf Anforderung in Textform.
4. Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht; diese werden für die Dauer der Aufbewahrungspflicht gesperrt und ausschließlich zu diesem Zweck verarbeitet.

§ 11 Nachweise und Kontrollrechte

1. Der Auftragnehmer weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage nach, insbesondere durch die Dokumentation der Maßnahmen nach Anlage 1, durch aktuelle Testate, Zertifikate oder Berichte unabhängiger Stellen oder durch die Beantwortung eines Prüfungsfragebogens.
2. Genügen diese Nachweise nicht, kann der Auftraggeber nach angemessener Vorankündigung von in der Regel zwei Wochen während der üblichen Geschäftszeiten eine Kontrolle durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber des Auftragnehmers ist.
3. Kontrollen erfolgen ohne vermeidbare Störung des Betriebsablaufs und unter Wahrung der Rechte und Geheimnisse anderer Kunden des Auftragnehmers.
4. Der Auftragnehmer unterstützt die Kontrolle im erforderlichen Umfang. Für Kontrollen, die über eine jährliche Prüfung hinausgehen und nicht durch einen konkreten Anlass gerechtfertigt sind, kann der Auftragnehmer eine angemessene Vergütung verlangen.

§ 12 Vertragsübernahme und Wechsel des Auftragnehmers

1. Wird der Nutzungsvertrag nach § 16 der Allgemeinen Geschäftsbedingungen im Wege der Vertragsübernahme auf einen Dritten übertragen, geht dieser Auftragsverarbeitungsvertrag zum selben Zeitpunkt und mit unverändertem Inhalt auf den eintretenden Dritten über. Der Auftraggeber erteilt seine Zustimmung hierzu bereits hiermit.
2. Der Auftragnehmer informiert den Auftraggeber über den bevorstehenden Übergang rechtzeitig vorher in Textform unter Angabe des eintretenden Dritten, dessen Sitz, des geplanten Zeitpunkts sowie etwaiger Änderungen bei den Unterauftragsverarbeitern, den technischen und organisatorischen Maßnahmen oder dem Ort der Verarbeitung.
3. Der Auftraggeber kann dem Übergang innerhalb von zwei Wochen ab Zugang dieser Information in Textform widersprechen, insbesondere wenn der eintretende Dritte keine hinreichenden Garantien im Sinne des Art. 28 Abs. 1 DSGVO bietet. Widerspricht er fristgerecht, wird der Übergang ihm gegenüber nicht wirksam; es gilt § 16 Ziffer 3 der Allgemeinen Geschäftsbedingungen entsprechend.
4. Bis zum wirksamen Übergang bleibt der bisherige Auftragnehmer an diesen Vertrag gebunden. Der eintretende Dritte ist ab dem Übergang an die Pflichten dieses Vertrages einschließlich der Anlagen 1 und 2 sowie an die Verpflichtung nach § 9 gebunden; das vereinbarte Schutzniveau darf durch den Übergang nicht unterschritten werden.
5. Eine Übertragung der Auftragsdaten auf den eintretenden Dritten findet erst mit Wirksamwerden des Übergangs statt. Widerspricht der Auftraggeber, gelten für die Beendigung die Regelungen des § 10.

§ 13 Haftung und Schlussbestimmungen

1. Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen der Allgemeinen Geschäftsbedingungen, soweit Art. 82 DSGVO dem nicht entgegensteht.
2. Dieser Vertrag beginnt mit der elektronischen Zustimmung und endet mit dem Nutzungsvertrag; die Pflichten nach § 9 und § 10 bestehen darüber hinaus fort.
3. Änderungen dieses Vertrages bedürfen der Textform. Für die Anpassung an geänderte rechtliche Anforderungen gilt § 15 der Allgemeinen Geschäftsbedingungen entsprechend; die Anlagen dürfen im Rahmen der §§ 4 und 5 fortgeschrieben werden.
4. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen gehen im Anwendungsbereich der Auftragsverarbeitung die Regelungen dieses Vertrages vor.
5. Es gilt deutsches Recht.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung die folgenden Maßnahmen. Maßgeblich ist die jeweils aktuelle Fassung dieser Anlage; das vereinbarte Schutzniveau wird dabei nicht unterschritten.

1. Vertraulichkeit

• Zutrittskontrolle: Betrieb ausschließlich in zertifizierten Rechenzentren der eingesetzten Anbieter (Anlage 2) mit Zutrittsbeschränkung, Videoüberwachung und dokumentierter Besucherverwaltung. Der Auftragnehmer betreibt keine eigenen Serverräume.
• Zugangskontrolle: persönliche Benutzerkonten, Passwortrichtlinien, Zwei-Faktor-Authentisierung für administrative Zugänge, automatische Sperrung inaktiver Sitzungen, kein gemeinsam genutztes Administratorkonto.
• Zugriffskontrolle: mandantenbezogene Zugriffsbeschränkung auf Datenbankebene durch Row Level Security; jeder lesende und schreibende Zugriff einer Nutzerin oder eines Nutzers läuft im Kontext ihrer beziehungsweise seiner Praxis. Rollen- und dokumentbezogene Berechtigungen innerhalb der Praxis. Zugriff der Beschäftigten des Auftragnehmers auf Kundendaten nur nach dem Erforderlichkeitsprinzip und dokumentiert.
• Trennungskontrolle: logische Mandantentrennung aller Kundendaten; getrennte Umgebungen für Entwicklung, Test und Produktion; keine Nutzung von Produktivdaten zu Testzwecken.
• Pseudonymisierung und Datenminimierung: Übermittlung an KI-Dienste nur im für die jeweilige Funktion erforderlichen Umfang; Protokolle und Fehlerberichte ohne Inhaltsdaten, Zugangsdaten oder vollständige Anbieterantworten.

2. Integrität

• Weitergabekontrolle: Transportverschlüsselung (TLS 1.2 oder höher) für alle Verbindungen zwischen Nutzern, Plattform und eingesetzten Diensten; Verschlüsselung ruhender Daten in Datenbank und Dateiablage.
• Eingabekontrolle: Protokollierung sicherheits- und datenschutzrelevanter Ereignisse; fachliche Änderungen an zentralen Objekten werden mit Zeitpunkt, handelnder Person beziehungsweise Systemrolle und Anlass revisionsfest protokolliert.
• Auftragskontrolle: schriftliche Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern, dokumentierte Auswahlprüfung und regelmäßige Überprüfung.

3. Verfügbarkeit und Belastbarkeit

• Regelmäßige, verschlüsselte Sicherungen mit definierten Aufbewahrungsfristen und wiederkehrender Wiederherstellungsprüfung.
• Redundant ausgelegte Infrastruktur der eingesetzten Anbieter, Überwachung von Verfügbarkeit und Fehlerraten, Alarmierung bei Störungen.
• Schutz vor Schadsoftware, Firewalls und Zugriffsbeschränkung auf administrative Schnittstellen.

4. Verfahren zur regelmäßigen Überprüfung

• Datenschutzmanagement mit Verzeichnis der Verarbeitungstätigkeiten, dokumentierten Löschfristen und Meldeprozess für Datenschutzverletzungen.
• Incident-Response-Prozess mit definierten Meldewegen und Fristen (§ 7).
• Sicherheitsprüfungen im Entwicklungsprozess: verpflichtende Codeprüfung, automatisierte Tests der Mandantentrennung, Abhängigkeits- und Geheimnisprüfung vor Auslieferung.
• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO): Konnektoren ausschließlich lesend, externe Aktionen nur nach ausdrücklicher Bestätigung, neue Funktionen mit weitergehendem Datenzugriff standardmäßig deaktiviert.

Anlage 2 — Genehmigte Unterauftragsverarbeiter

Stand: 17. August 2026. Die nachfolgend genannten Dienstleister werden im Umfang der jeweils angegebenen Leistung eingesetzt. Mit allen Dienstleistern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO sowie Verpflichtungen nach § 203 Abs. 4 StGB. Dienste, die in dieser Anlage als „nur bei Aktivierung“ gekennzeichnet sind, verarbeiten Daten erst, wenn der Auftraggeber die zugehörige Funktion freischaltet. Die Aufstellung nennt die vom Auftragnehmer unmittelbar beauftragten Unterauftragsverarbeiter abschließend. Setzen diese ihrerseits Dienstleister ein (etwa den Betreiber des Rechenzentrums, in dem sie ihre Leistung erbringen), gelten für diese die nach § 5 Ziffer 4 weitergereichten Pflichten einschließlich der Verpflichtung nach § 203 Abs. 4 StGB; sie sind in der Spalte „Leistung“ kenntlich gemacht, soweit sie Auftragsdaten speichern oder verarbeiten.