Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Vertrag über die Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Der nachfolgende Vertrag über die Auftragsverarbeitung (AV-Vertrag) im Sinne des Art. 28 Abs. 3 DSGVO regelt die datenschutzrechtlichen Pflichten und Rechte im Zusammenhang mit dem Leistungsvertrag [Vertragsnummer] vom [Datum des Vertragsschlusses] zwischen:

Dem Verantwortlichen (Art. 4 Nr. 7 DSGVO) für die Datenverarbeitung:

[Name des Kundenunternehmens]
[Anschrift des Kundenunternehmens]
Vertreten durch: [Ansprechpartner des Kunden] ([Funktion])
Nachfolgend: Verantwortlicher

und dem Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO):

GOHA Systems GmbH
Kurfürstendamm 14, 10719 Berlin
Deutschland
Nachfolgend: Auftragsverarbeiter

Der Inhalt entspricht den Standardvertragsklauseln der Kommission im Sinne von Art. 28 Abs. 6, 7 DSGVO (Durchführungsbeschluss (EU) 2021/915 vom 04.06.2021, C(2021) 3701 final).

Inhaltsverzeichnis

ABSCHNITT I
- Klausel 1 – Zweck und Anwendungsbereich
- Klausel 2 – Unabänderbarkeit der Klauseln
- Klausel 3 – Auslegung
- Klausel 4 – Vorrang
- Klausel 5 – Kopplungsklausel (fakultativ)
ABSCHNITT II – Pflichten der Parteien
- Klausel 6 – Beschreibung der Verarbeitung
- Klausel 7 – Pflichten der Parteien (7.1 – 7.8)
- Klausel 8 – Unterstützung des Verantwortlichen
- Klausel 9 – Meldung von Datenschutzverletzungen
ABSCHNITT III – Schlussbestimmungen
- Klausel 10 – Verstöße und Beendigung
Anhang I – Liste der Parteien
Anhang II – Beschreibung der Verarbeitung
Anhang III – Technische und organisatorische Maßnahmen (TOM)
Anhang IV – Liste der Unterauftragsverarbeiter

STANDARDVERTRAGSKLAUSELN

ABSCHNITT I

Klausel 1 – Zweck und Anwendungsbereich

a) Mit diesen Standardvertragsklauseln (im Folgenden „Klauseln") soll die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG gewährleistet werden.

b) Die in Anhang I aufgeführten Verantwortlichen und Auftragsverarbeiter haben diesen Klauseln zugestimmt, um die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 und/oder Artikel 29 Absätze 3 und 4 der Verordnung (EU) 2018/1725 zu gewährleisten.

c) Diese Klauseln gelten für die Verarbeitung personenbezogener Daten gemäß Anhang II.

d) Die Anhänge I bis IV sind Bestandteil der Klauseln.

e) Diese Klauseln gelten unbeschadet der Verpflichtungen, denen der Verantwortliche gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.

f) Diese Klauseln stellen für sich allein genommen nicht sicher, dass die Verpflichtungen im Zusammenhang mit internationalen Datenübermittlungen gemäß Kapitel V der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 erfüllt werden.

Klausel 2 – Unabänderbarkeit der Klauseln

a) Die Parteien verpflichten sich, die Klauseln nicht zu ändern, es sei denn zur Ergänzung oder Aktualisierung der in den Anhängen angegebenen Informationen.

b) Dies hindert die Parteien nicht daran, die in diesen Klauseln festgelegten Standardvertragsklauseln in einen umfassenderen Vertrag aufzunehmen oder weitere Klauseln oder zusätzliche Garantien hinzuzufügen, sofern diese weder mittelbar noch unmittelbar im Widerspruch zu den Klauseln stehen oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneiden.

Klausel 3 – Auslegung

a) Werden in diesen Klauseln die in der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 definierten Begriffe verwendet, so haben diese Begriffe dieselbe Bedeutung wie in der jeweiligen Verordnung.

b) Diese Klauseln sind im Lichte der Bestimmungen der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 auszulegen.

c) Diese Klauseln sind nicht in einer Weise auszulegen, die den in der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten zuwiderläuft oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneidet.

Klausel 4 – Vorrang

Im Falle eines Widerspruchs zwischen diesen Klauseln und den Bestimmungen damit zusammenhängender Vereinbarungen, die zwischen den Parteien zum Zeitpunkt des Abschlusses dieser Klauseln gelten oder später geschlossen werden, haben diese Klauseln Vorrang.

Klausel 5 – Kopplungsklausel (fakultativ)

a) Jede nicht an diesen Klauseln beteiligte Stelle kann den Klauseln mit Zustimmung aller Parteien jederzeit als Verantwortlicher oder Auftragsverarbeiter beitreten, indem sie die Anhänge ausfüllt und Anhang I unterzeichnet.

b) Sobald die in Buchstabe a genannten Anhänge ausgefüllt und unterzeichnet sind, wird die beitretende Stelle als Partei dieser Klauseln behandelt und hat die Rechte und Pflichten eines Verantwortlichen oder Auftragsverarbeiters entsprechend ihrer in Anhang I genannten Eigenschaft.

c) Vor dem Beitritt zu den Klauseln entstehen der beitretenden Stelle keine Rechte oder Pflichten aus diesen Klauseln.

ABSCHNITT II – PFLICHTEN DER PARTEIEN

Klausel 6 – Beschreibung der Verarbeitung

Die Einzelheiten der Verarbeitungsvorgänge, insbesondere die Kategorien personenbezogener Daten und die Zwecke, zu denen die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden, sind in Anhang II aufgeführt.

Klausel 7 – Pflichten der Parteien

7.1 Weisungen

a) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet. In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen vor der Verarbeitung diese rechtlichen Anforderungen mit, sofern das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Weitere Weisungen können vom Verantwortlichen während der gesamten Dauer der Verarbeitung erteilt werden. Diese Weisungen sind stets zu dokumentieren.

b) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass vom Verantwortlichen erteilte Weisungen gegen die Verordnung (EU) 2016/679, die Verordnung (EU) 2018/1725 oder geltende Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstoßen.

7.2 Zweckbindung

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur für den in Anhang II genannten besonderen Zweck oder die besonderen Zwecke der Verarbeitung, es sei denn, er erhält weitere Weisungen vom Verantwortlichen.

7.3 Dauer der Verarbeitung personenbezogener Daten

Die Daten werden vom Auftragsverarbeiter nur für die in Anhang II genannte Dauer verarbeitet.

7.4 Sicherheit der Verarbeitung

a) Der Auftragsverarbeiter ergreift mindestens die in Anhang III aufgeführten technischen und organisatorischen Maßnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten. Dies schließt den Schutz der Daten vor einer Verletzung der Sicherheit ein, die – ob unbeabsichtigt oder unrechtmäßig – zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung oder zum unbefugten Zugang führt (im Folgenden „Verletzung des Schutzes personenbezogener Daten"). Bei der Beurteilung des angemessenen Schutzniveaus tragen die Parteien dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung und den für die betroffenen Personen mit der Verarbeitung verbundenen Risiken gebührend Rechnung.

b) Der Auftragsverarbeiter gewährt seinem Personal nur insoweit Zugang zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, als dies für die Durchführung, Verwaltung und Überwachung des Vertrags unbedingt erforderlich ist. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der erhaltenen personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7.5 Sensible Daten

Werden besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) oder personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) verarbeitet, wendet der Auftragsverarbeiter besondere Beschränkungen und/oder zusätzliche Garantien an, die in Anhang II festgelegt sind.

7.6 Dokumentation und Einhaltung der Klauseln

a) Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können.

b) Der Auftragsverarbeiter bearbeitet Anfragen des Verantwortlichen zur Verarbeitung von Daten gemäß diesen Klauseln umgehend und angemessen.

c) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der in diesen Klauseln festgelegten Pflichten notwendig sind. Auf Verlangen des Verantwortlichen gestattet und unterstützt der Auftragsverarbeiter Audits, einschließlich Inspektionen, in angemessenen Abständen oder bei Anzeichen von Verstößen. Bei der Entscheidung über eine Überprüfung oder ein Audit kann der Verantwortliche einschlägige Zertifizierungen des Auftragsverarbeiters berücksichtigen.

d) Der Verantwortliche kann ein Audit selbst durchführen oder einen unabhängigen Prüfer beauftragen. Audits können auch Inspektionen in den Räumlichkeiten oder physischen Einrichtungen des Auftragsverarbeiters umfassen und werden gegebenenfalls mit angemessener Vorankündigung durchgeführt.

e) Die Parteien stellen der zuständigen Aufsichtsbehörde auf Anfrage die in dieser Klausel genannten Informationen, einschließlich der Ergebnisse von Audits, zur Verfügung.

7.7 Einsatz von Unterauftragsverarbeitern

a) ALLGEMEINE SCHRIFTLICHE GENEHMIGUNG: Der Auftragsverarbeiter besitzt die allgemeine Genehmigung des Verantwortlichen für die Beauftragung von Unterauftragsverarbeitern, die in einer vereinbarten Liste aufgeführt sind (Anhang IV). Der Auftragsverarbeiter unterrichtet den Verantwortlichen schriftlich mindestens 30 Tage im Voraus über alle beabsichtigten Änderungen dieser Liste durch Hinzufügung oder Ersetzung von Unterauftragsverarbeitern und gibt dem Verantwortlichen damit ausreichend Zeit, um vor der Beauftragung des/der betreffenden Unterauftragsverarbeiter(s) Einwände gegen diese Änderungen erheben zu können.

b) Wenn der Auftragsverarbeiter einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten beauftragt, geschieht dies mittels eines Vertrags, der dem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diejenigen, die für den Auftragsverarbeiter gemäß diesen Klauseln gelten.

c) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Verlangen eine Kopie einer solchen Vereinbarung mit einem Unterauftragsverarbeiter und alle nachfolgenden Änderungen zur Verfügung.

d) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen in vollem Umfang dafür, dass der Unterauftragsverarbeiter seinen Pflichten gemäß dem Vertrag, den er mit dem Auftragsverarbeiter geschlossen hat, nachkommt.

7.8 Internationale Datenübermittlungen

a) Datenübermittlungen durch den Auftragsverarbeiter an ein Drittland oder eine internationale Organisation erfolgen nur auf der Grundlage dokumentierter Weisungen des Verantwortlichen oder zur Erfüllung einer spezifischen Anforderung nach dem Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, und im Einklang mit Kapitel V der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725.

b) Der Verantwortliche stimmt zu, dass dann, wenn der Auftragsverarbeiter einen Unterauftragsverarbeiter gemäß Klausel 7.7 für die Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen) beauftragt und diese Verarbeitungstätigkeiten die Übermittlung personenbezogener Daten im Sinne von Kapitel V der Verordnung (EU) 2016/679 beinhalten, der Auftragsverarbeiter und der Unterauftragsverarbeiter die Einhaltung von Kapitel V der Verordnung (EU) 2016/679 durch Verwendung von Standardvertragsklauseln gewährleisten können, sofern die Bedingungen für die Anwendung dieser Standardvertragsklauseln erfüllt sind.

Klausel 8 – Unterstützung des Verantwortlichen

a) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über jeden Antrag, den er von der betroffenen Person erhalten hat. Er beantwortet den Antrag nicht selbst, es sei denn, er wurde vom Verantwortlichen dazu ermächtigt.

b) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten zur Beantwortung der Anträge betroffener Personen auf Ausübung ihrer Rechte unter Berücksichtigung der Art der Verarbeitung. Bei der Erfüllung seiner Pflichten gemäß den Buchstaben a und b befolgt der Auftragsverarbeiter die Weisungen des Verantwortlichen.

c) Zusätzlich zur Pflicht des Auftragsverarbeiters, den Verantwortlichen gemäß Klausel 8 Buchstabe b zu unterstützen, unterstützt der Auftragsverarbeiter ferner den Verantwortlichen unter Berücksichtigung der Art der Datenverarbeitung und der ihm zur Verfügung stehenden Informationen bei der Gewährleistung der Einhaltung folgender Pflichten: Pflicht zur Durchführung einer Datenschutz-Folgenabschätzung (DSFA), Pflicht zur Konsultation der zuständigen Aufsichtsbehörde(n) vor der Verarbeitung, Pflicht zur Gewährleistung der Sicherheit personenbezogener Daten, Pflicht zur Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde und zur Benachrichtigung der betroffenen Person.

d) Die Parteien legen in Anhang III die geeigneten technischen und organisatorischen Maßnahmen fest, mit denen der Auftragsverarbeiter den Verantwortlichen bei der Anwendung dieser Klausel unterstützen muss, sowie den Umfang und das Ausmaß der erforderlichen Unterstützung.

Klausel 9 – Meldung von Verletzungen des Schutzes personenbezogener Daten

9.1 Verletzung des Schutzes von Daten, die vom Verantwortlichen verarbeitet werden

Im Falle einer Verletzung des Schutzes personenbezogener Daten in Zusammenhang mit von ihm verarbeiteten Daten des Verantwortlichen unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Meldung der Verletzung an die zuständige Aufsichtsbehörde sowie bei der Benachrichtigung der betroffenen Personen, falls erforderlich. Dabei gilt eine Reaktionsfrist von höchstens 24 Stunden nach Bekanntwerden.

9.2 Verletzung des Schutzes von Daten, die vom Auftragsverarbeiter verarbeitet werden

Im Falle einer Verletzung des Schutzes personenbezogener Daten in Zusammenhang mit Daten, die der Auftragsverarbeiter verarbeitet, benachrichtigt der Auftragsverarbeiter den Verantwortlichen unverzüglich, nachdem ihm die Verletzung bekannt geworden ist. Diese Benachrichtigung enthält mindestens: (a) eine Beschreibung der Art der Verletzung (sofern möglich unter Angabe der betroffenen Kategorien und der ungefähren Anzahl der betroffenen Personen und Datensätze), (b) die Kontaktdaten einer Anlaufstelle, bei der weitere Informationen eingeholt werden können, (c) die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen, um die Verletzung zu beheben und ihre möglichen nachteiligen Auswirkungen abzumildern.

ABSCHNITT III – SCHLUSSBESTIMMUNGEN

Klausel 10 – Verstöße gegen die Klauseln und Beendigung

a) Unbeschadet der Bestimmungen der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 kann der Verantwortliche den Vertrag fristlos kündigen, wenn der Auftragsverarbeiter seinen Pflichten gemäß diesen Klauseln, gleichgültig aus welchem Grund, nicht nachkommt.

b) Der Auftragsverarbeiter ist berechtigt, den Vertrag, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, zu kündigen, wenn der Verantwortliche nach Inkenntnissetzung des Auftragsverarbeiters darüber, dass seine Weisungen gegen geltende rechtliche Anforderungen verstoßen, auf der Einhaltung der Weisungen besteht.

c) Nach Beendigung des Vertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle für den Verantwortlichen verarbeiteten personenbezogenen Daten und bescheinigt dem Verantwortlichen, dass dies erfolgt ist, oder gibt alle personenbezogenen Daten an den Verantwortlichen zurück und löscht bestehende Kopien, sofern nicht nach Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Bis zur Löschung oder Rückgabe der Daten gewährleistet der Auftragsverarbeiter weiterhin die Einhaltung dieser Klauseln.

ANHANG I – LISTE DER PARTEIEN

Verantwortliche(r)

Firma: [Name des Kundenunternehmens]
Adresse: [Straße und Hausnummer]
PLZ / Ort: [PLZ] [Ort]
Land: [Land]
USt-IdNr.: [USt-IdNr.]
Registergericht / HRB: [Registergericht / HRB]
Kontaktperson: [Ansprechpartner des Kunden] ([Funktion])
E-Mail: [E-Mail des Ansprechpartners]
Telefon: [Telefon des Ansprechpartners]
Tätigkeiten, die für die Verarbeitung relevant sind: Nutzung der SaaS-Plattform „Panther HR" zur Personalverwaltung, Zeiterfassung, Abwesenheitsmanagement, Mitarbeiterportal, Reisekostenabrechnung und damit verbundene HR-Prozesse.
Funktion: Verantwortlicher

Auftragsverarbeiter

Firma: GOHA Systems GmbH
Adresse: Kurfürstendamm 14, 10719 Berlin, Deutschland
Registergericht: Amtsgericht Charlottenburg, HRB 261218 B
Geschäftsführer: Hakan Uluer
E-Mail: support@panther-hr.de
Datenschutzbeauftragter: Melanie Reuter (WS-Datenschutz GmbH), Dircksenstraße 51, 10178 Berlin · goha-systems@ws-datenschutz.de · 030 88 72 07 88
Tätigkeiten, die für die Verarbeitung relevant sind: Bereitstellung, Betrieb, Wartung und Support der SaaS-Plattform „Panther HR".
Funktion: Auftragsverarbeiter

ANHANG II – BESCHREIBUNG DER VERARBEITUNG

Kategorien betroffener Personen

Beschäftigte des Verantwortlichen (Festangestellte, Teilzeitkräfte, Aushilfen, Auszubildende, Praktikanten)
Bewerber im Rahmen des Onboarding-Prozesses
Ausgeschiedene Beschäftigte (im Rahmen gesetzlicher Aufbewahrungsfristen)
Führungskräfte, Team Leads und Administratoren des Verantwortlichen

Kategorien personenbezogener Daten

Stammdaten (Name, Adresse, Geburtsdatum, Personalnummer, Position, Eintritts-/Austrittsdatum)
Kontaktdaten (E-Mail, Telefon)
Beschäftigungsdaten (Arbeitsvertrag, Gehalt, Steuerklasse, Sozialversicherung – soweit erfasst)
Zeiterfassungsdaten (Arbeitszeiten, Pausen, Überstunden, Standortdaten bei mobiler Erfassung)
Abwesenheitsdaten (Urlaub, Krankheit, Sonderurlaub)
Reisekostendaten (Reisen, Belege, Auslagen)
Personalakte (Verträge, Bescheinigungen, Qualifikationen, Schulungen)
Login- und Nutzungsdaten (Authentifizierungs-Token, MFA-Faktoren, Aktivitätsprotokolle)

Sensible Daten (Art. 9, 10 DSGVO)

Gesundheitsdaten im Rahmen von Krankmeldungen (Zeitraum, ggf. AU-Bescheinigung als Datei). Konfession bei Lohn-/Steuerverarbeitung, sofern erfasst. Schwerbehindertenstatus, sofern vom Verantwortlichen gepflegt. Diese Daten werden mit besonderer Vertraulichkeit, Zugriffsbeschränkungen und Verschlüsselung verarbeitet.

Häufigkeit der Übermittlung

Kontinuierlich, jeweils bei Nutzung der Plattform durch berechtigte Personen des Verantwortlichen.

Art der Verarbeitung

Erfassen, Speichern, Strukturieren, Anpassen, Auslesen, Abfragen, Übermitteln innerhalb der Plattform, Bereitstellen zur Auswertung, Löschen nach Ablauf gesetzlicher Aufbewahrungspflichten. Zusätzlich: Versand von systemgenerierten Benachrichtigungen (E-Mails), Umrechnung von GPS-Koordinaten in Adressdaten, technische Fehleranalyse zur Sicherstellung der Systemstabilität sowie statistische Auswertung der Webseitennutzung.

Zweck(e) der Verarbeitung

Erbringung der vertraglich vereinbarten SaaS-Leistungen zur Personalverwaltung, Erfüllung arbeits- und sozialrechtlicher Pflichten des Verantwortlichen, Bereitstellung von Auswertungen und Exporten an das Lohnbüro/Steuerberater des Verantwortlichen.

Dauer der Verarbeitung

Der Zeitraum der Verarbeitung richtet sich nach der Länge des Hauptvertrags. Nach Beendigung des Hauptvertrags ist ein Datenexport für Kunden für einen Zeitraum von 30 Tagen möglich. Anschließend erfolgt Rückgabe und/oder Löschung gemäß Klausel 10 Buchstabe c, vorbehaltlich gesetzlicher Aufbewahrungspflichten (insb. § 257 HGB, § 147 AO).

Verarbeitungen durch Unterauftragsverarbeiter

Gegenstand, Art und Dauer entsprechen den unter Klausel 7.7 und Anhang IV genannten Tätigkeiten.

ANHANG III – TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN (TOM)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle: Server in zertifizierten Rechenzentren der Hetzner Online GmbH (Falkenstein/Nürnberg, DE), ISO 27001-zertifiziert; mehrstufige Zugangskontrolle, Videoüberwachung, 24/7-Personal.
Zugangskontrolle: Pflichtige Multi-Faktor-Authentifizierung (MFA) für alle Admin-Konten; starke Passwortrichtlinie (Mindestlänge 10, Komplexität, kein Klarname/E-Mail-Match); Session-Timeouts; Trusted-Device-Mechanismus.
Zugriffskontrolle: Rollenbasierte Berechtigungen (RLS) in der Datenbank; Mandantentrennung über tenant_id; Least-Privilege-Prinzip; revoked-Spalten für sensible Felder (IBAN, Gehalt, Trial-Karte) — nur über dedizierte RPCs lesbar.
Trennungskontrolle: Logische Trennung der Kundendaten in einem einzigen Datenbankschema mit RLS-erzwungener Mandantentrennung; getrennte Speicher-Buckets pro company_id.
Pseudonymisierung & Verschlüsselung: TLS 1.2+ im Transport; AES-256 at rest; signed URLs für Datei-Downloads (≤ 60 min).

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle: Versand transaktionaler Mails ausschließlich TLS-1.3-verschlüsselt über die Microsoft Graph API (Microsoft Ireland Operations Ltd.); ein weiterer E-Mail-Versanddienstleister wird nicht eingesetzt.
Eingabekontrolle: Audit-Trail für sicherheits- und compliance-relevante Aktionen (audit_logs, signature_audit_log, profile_change_log, company_access_logs). Protokollierung von Zugriffen auf Anwendungen, insbesondere bei Eingabe, Änderung und Löschung von Daten, nach Maßgabe der gesetzlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB).
Terminal-Authentifizierung: Hardware-Terminals enrolen sich per zeitlich begrenzter Session, Geräte-Token wird verschlüsselt gespeichert; PINs ausschließlich als gepfefferter Hash.
Transportsicherheit: alle Übertragungen via HTTPS/TLS 1.3, HSTS aktiviert, CORS-Policy konfiguriert, Rate-Limiting auf API-Ebene.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

Tägliche automatische Backups, Point-in-Time-Recovery (PITR) in der Supabase-/Postgres-Infrastruktur; Database-Snapshots mit 30 Tagen Aufbewahrung.
Monitoring & Alerting (Sentry, infrastrukturseitige Alerts), Incident-Response < 24 h.
Hochverfügbarkeit über die EU-Regions-Infrastruktur (Frankfurt).

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

Datenschutz-Management mit ständigem Datenschutzbeauftragten (WS Datenschutz GmbH).
Regelmäßige Bewertung eingesetzter Verfahren, Meldepflicht an den DSB bei neu eingesetzten Verfahren, regelmäßige Security-Updates, dokumentierte Penetrationstests.
Regelmäßige Security-Scans (Dependency-Scans, RLS-Linter, manuelle Code-Reviews).
Auftragskontrolle: Schriftliche Verträge mit allen Unterauftragsverarbeitern; Liste in Anhang IV; 30-Tage-Vorabinformation bei Änderungen.
Mitarbeiterverpflichtung auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).

5. Unterstützung des Verantwortlichen

Bereitstellung von Export-Schnittstellen (CSV, XLSX, JSON, DATEV, PDF/A-2b) zur Beantwortung von Betroffenenanfragen; dokumentierte Lösch- und Sperr-Workflows; DSFA-Unterstützung auf Anforderung.

ANHANG IV – LISTE DER UNTERAUFTRAGSVERARBEITER

Firma	Anschrift	Kontakt	Funktion
Supabase, Inc.	970 Toa Payoh North #07-04, Singapore 318992 (Verarbeitung in Frankfurt am Main, DE)	privacy@supabase.io	Cloud-Datenbank, Backend-Hosting, Authentifizierung (AWS-basiert) — Art. 28 DSGVO + EU-SCC
Amazon Web Services (AWS EMEA SARL)	38 Avenue John F. Kennedy, L-1855 Luxembourg	aws-EU-privacy@amazon.com	Cloud-Infrastruktur (über Supabase) — Art. 28 DSGVO
Microsoft Ireland Operations Ltd.	4th Floor, Block 1, The Square, Tallaght, Dublin 24, Irland	Microsoft Privacy	E-Mail-Versand (transaktionale E-Mails via Microsoft Graph API) — Art. 28 DSGVO
FOSSGIS e.V.	c/o OpenStreetMap Deutschland, Am Hofgarten 1, 10178 Berlin, Deutschland	info@fossgis.de	Geokodierung (Nominatim/OpenStreetMap) — Art. 28 DSGVO
Hetzner Online GmbH	Industriestr. 25, 91710 Gunzenhausen, Deutschland	datenschutz@hetzner.de	Server-Hosting (Produktiv- und Integrationsumgebung), Backups — Art. 28 DSGVO
Stripe Payments Europe Ltd.	1 Grand Canal Street Lower, Dublin 2, Irland	privacy@stripe.com	Zahlungsabwicklung, Abo-Verwaltung, SEPA-Lastschrift, Kartenzahlung — Art. 28 DSGVO + EU-SCC
Plausible Insights OÜ	Harju maakond, Tallinn, Kesklinna linnaosa, Pikk tn 19-2, 10133, Estland	privacy@plausible.io	Cookielose Webanalyse (Reichweitenmessung) — Art. 28 DSGVO
Google Ireland Ltd.	Gordon House, Barrow Street, Dublin 4, Irland	privacy@google.com	Conversion-Messung (Google Ads, Tag Manager) – nur bei Einwilligung — Art. 28 DSGVO
DATEV eG	Paumgartnerstraße 6–14, 90429 Nürnberg, Deutschland	datenschutz@datev.de	Optionale Lohn-Schnittstelle (Lohn- und Abwesenheitsdaten) — Art. 28 DSGVO
Sentry (Functional Software, Inc.)	548 Market St, San Francisco, CA 94104, USA	privacy@sentry.io	Fehler- und Absturzdiagnose (Monitoring) — Art. 28 DSGVO + EU-SCC

Änderungen dieser Liste werden dem Verantwortlichen mindestens 30 Tage vorher schriftlich angezeigt (Klausel 7.7 lit. a).