Vereinbarung über Durchführung einer Auftragsverarbeitung
HeyMagda-Plattform und -Apps
Stand: 1.6.2026
Präambel
Der Auftragsverarbeiter betreibt unter der Bezeichnung „HeyMagda" eine Software-Plattform sowie eine darin eingelegte Apps, über die von Nutzer bereitgestellte Informationen verarbeitet und – je nach Anwendungsfall – mit Unterstützung künstlicher Intelligenz analysiert werden. Der Verantwortliche nutzt diesen Dienst auf Grundlage der zwischen den Parteien geschlossenen Plattform- und App-Nutzungsbedingungen (gemeinsam nachfolgend „Hauptvertrag").
Der Verantwortliche ist nach den Regelungen des Hauptvertrags verpflichtet, bei der Nutzung keine personenbezogenen Daten zu verarbeiten, insbesondere solche nicht an den Auftragsverarbeiter zu übermitteln oder anderweitig zu erfassen. Soweit in den hochgeladenen Dokumenten dennoch personenbezogene Daten enthalten sein sollten, regelt dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag“) deren Verarbeitung durch den Auftragsverarbeiter.
Soweit es daher zu einer Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen i.S.d. Art. 4 Nr. 8 und Art. 28 der Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung („DSGVO“) kommt, konkretisiert dieser Vertrag die datenschutzrechtlichen Verpflichtungen der Vertragsparteien. Dieser Vertrag findet auf alle Tätigkeiten Anwendung, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen Mitarbeiter des Auftragsverarbeiters oder durch Auftragsverarbeiter beauftragte Dritte mit vom Verantwortlichen zur Verfügung gestellten personenbezogenen Daten in Berührung kommen können.
1 Definitionen
1.1 „Personenbezogene Daten“ sind alle vom Verantwortlicher zur Verfügung gestellten Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind (Art. 4 Nr. 1 DSGVO).
1.2 „Verarbeitung“ bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung (Art. 4 Nr. 2 DSGVO).
1.3 „Weisungen“ sind alle Anweisungen, die der Verantwortlicher dem Auftragsverarbeiter erteilt und mit denen der Auftragsverarbeiter zur Verarbeitung personenbezogener Daten aufgefordert wird. Die Weisungen werden anfänglich durch den Hauptvertrag festgelegt und können vom Verantwortlichen danach durch einzelne Weisungen geändert, ergänzt oder ersetzt werden.
2 Gegenstand des Vertrags, Verantwortlichkeit
Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten im Auftrag des Verantwortlichen. Der Verantwortliche ist für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Weitergabe der personenbezogenen Daten an den Auftragsverarbeiter sowie die Rechtmäßigkeit der Verarbeitung dieser allein verantwortlich („Verantwortlicher“ im Sinne Art. 4 Nr. 7 DSGVO).
3 Dauer
Die Dauer dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Das Recht zur außerordentlichen Kündigung bleibt hiervon unberührt. Im Zweifel gilt eine Kündigung des Hauptvertrags auch als Kündigung dieses Vertrags und eine Kündigung dieses Vertrages als Kündigung des Hauptvertrages.
4 Umfang, Art und Zweck der vorgesehenen Verarbeitung personenbezogene
Die Leistungserbringung aus dem Hauptvertrag beinhaltet eine Pflicht des Nutzers, keine personenbezogenen Daten in Analysegegenstände einzubringen. Alleine für den Fall, dass der Nutzer dieser Verpflichtung nicht nachkommt, schließen die Parteien diese Vereinbarung.
Gegenstand der Verarbeitung sind voraussichtlich: Name, ggf. Adresse von Vertrags- oder Ansprechpartnern, Details zu Beruf und/oder Sozialversicherung sowie Gehaltsinformationen.
Der Zweck der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen ergibt sich aus dem Hauptvertrag.
5 Löschung und Herausgabe von Daten
5.1 Der Auftragsverarbeiter wird dem Verantwortlichen nach Beendigung des Hauptvertrags oder jederzeit auf dessen Verlangen alle ihm überlassenen Unterlagen, Daten und Datenträger zurückgeben oder auf Wunsch des Verantwortlichen, sofern nicht eine gesetzliche Aufbewahrungsfrist besteht, vollständig und unwiderruflich löschen.
5.2 Der Verantwortliche legt die Maßnahmen zur Herausgabe der überlassenen Datenträger und/oder Löschung der gespeicherten personenbezogenen Daten nach Beendigung des Vertrages vertraglich oder durch Weisung fest.
6 Technisch-organisatorische Maßnahmen
6.1 Der Auftragsverarbeiter wird seine innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er verpflichtet sich, alle geeigneten technischen und organisatorischen Maßnahmen zum angemessenen Schutz der Verantwortlichendaten gem. Art. 32 DSGVO, insbesondere die in Anhang 1 zu diesem Vertrag aufgeführten Maßnahmen, zu ergreifen und diese für die Dauer der Verarbeitung der Verantwortlichendaten aufrecht zu erhalten.
6.2 Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen, die die Integrität, Vertraulichkeit oder Verfügbarkeit der personenbezogenen Daten beeinträchtigen können, sind zu dokumentieren.
7 Weisungen
7.1 Der Verantwortliche hat das Recht, jederzeit Weisungen über Art, Umfang und Verfahren der Verarbeitung personenbezogener Daten gegenüber dem Auftragsverarbeiter zu erteilen. Weisungen sind vom Verantwortlichen schriftlich zu erteilen.
7.2 Der Auftragsverarbeiter darf personenbezogene Daten nur im Rahmen des Hauptvertrages, dieses Vertrages und von Weisungen verarbeiten, es sei denn, dass der Auftragsverarbeiter nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung der personenbezogenen Daten verpflichtet ist.
7.3 Der Auftragsverarbeiter muss dem Verantwortlichen von Ausnahmen von der Weisungspflicht aufgrund für ihn geltendem Recht unterrichten, es sei denn gerade dieses Recht verbietet solche Mitteilung wegen eines wichtigen öffentlichen Interesses.
7.4 Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung des Verantwortlichen gegen datenschutzrechtliche Bestimmungen verstößt, hat er den Verantwortlichen unverzüglich darauf hinzuweisen. Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung solange auszusetzen, bis diese durch den Verantwortlichen bestätigt oder geändert wird
8 Sonstige Rechte und Pflichten des Auftragsverarbeiters
8.1 Der Auftragsverarbeiter bestellt, soweit gesetzlich vorgeschrieben, einen Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 37, 38, 39 DSGVO ausüben kann. Dessen Kontaktdaten werden dem Verantwortlichen zum Zweck der direkten Kontaktaufnahme auf Anfrage mitgeteilt.
8.2 Der Auftragsverarbeiter stellt sicher, dass die mit der Verarbeitung der personenbezogenen Daten befassten Mitarbeiter auf das Datengeheimnis verpflichtet werden (Art. 29 DSGVO) und in die Schutzbestimmungen der DSGVO eingewiesen worden sind. Das Datengeheimnis besteht auch nach Beendigung der Tätigkeit fort.
8.3 Der Auftragsverarbeiter unterrichtet den Verantwortlichen bei schwerwiegenden Störungen des Betriebsablaufes, bei Verdacht auf Datenschutzverletzungen oder anderen Unregelmäßigkeiten bei der Verarbeitung der personenbezogenen Daten. Dies gilt auch für etwaige Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde nach Art. 51-59 DSGVO oder Ermittlungen nach Art. 83, 84 DSGVO.
8.4 Bei Störungen, Verdacht auf Datenschutzverletzungen oder Verletzungen vertraglicher Verpflichtungen des Auftragsverarbeiters, Verdacht auf sicherheitsrelevante Vorfälle oder andere Unregelmäßigkeiten bei der Verarbeitung der Verantwortlichendaten durch den Auftragsverarbeiter, bei ihm im Rahmen des Auftrags beschäftigten Personen oder durch Dritte wird der Auftragsverarbeiter den Verantwortlichen in Schriftform oder elektronischer Form informieren. Dasselbe gilt für Prüfungen des Auftragsverarbeiters durch die Datenschutz-Aufsichtsbehörde. Die Meldungen enthalten jeweils zumindest die in Art. 33 Abs. 3 DSGVO genannten Angaben. Der Auftragsverarbeiter hat angemessene Maßnahmen zur Sicherung der Daten sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen.
8.5 Der Auftragsverarbeiter ist verpflichtet, dem Verantwortlicher jederzeit Auskünfte zu erteilen, soweit seine Daten und Unterlagen von einer Verletzung des Schutzes personenbezogener Daten betroffen sind. Die datenschutzkonforme Vernichtung von Material übernimmt der Auftragsverarbeiter auf Grund einer Einzelbeauftragung durch den Verantwortlichen auf dessen Kosten. In besonderen, vom Verantwortlichen schriftlich zu bestimmenden Fällen, erfolgt eine Aufbewahrung bzw. Übergabe.
8.6 Die Verarbeitung von Daten in Privatwohnungen (Tele- bzw. Heimarbeit von Beschäftigten des Auftragsverarbeiters) wird vom Verantwortlichen gestattet. Soweit die Daten in einer Privatwohnung verarbeitet werden, sichert der Auftragsverarbeiter zu, dass die Maßnahmen nach Art. 32 DSGVO auch für Tele- und Heimarbeit sichergestellt werden.
8.7 Der Auftragsverarbeiter anonymisiert personenbezogene Daten in Analysegegenständen und unterstützt den Nutzer dabei mit der Erfüllung seiner Pflichten aus dem Hauptvertrag.
9 Rechte und Pflichten des Verantwortlichen
9.1 Der Verantwortliche ist für die Beurteilung der Zulässigkeit der Verarbeitung personenbezogener Daten sowie für die Wahrung der Rechte der Betroffenen allein verantwortlich.
9.2 Der Verantwortliche hat den Auftragsverarbeiter unverzüglich und vollständig schriftlich zu informieren, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.
9.3 Dem Verantwortlichen obliegen die aus Art. 33 DSGVO resultierenden Informationspflichten.
10 Anfragen Betroffener
10.1 Ist der Verantwortliche auf Grund geltender Datenschutzgesetze gegenüber einer Einzelperson verpflichtet, Auskünfte zur Verarbeitung dessen personenbezogenen Daten zu geben, wird der Auftragsverarbeiter den Verantwortlichen, soweit erforderlich, dabei unterstützen, diese Informationen bereit zu stellen, vorausgesetzt der Verantwortliche hat den Auftragsverarbeiter hierzu schriftlich aufgefordert.
10.2 Macht ein Betroffener Rechte, etwa auf Auskunftserteilung, Berichtigung oder Löschung hinsichtlich seiner Daten, unmittelbar gegenüber dem Auftragsverarbeiter geltend, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten und wartet dessen Weisungen ab. Ohne entsprechende Weisung wird der Auftragsverarbeiter nicht mit der betroffenen Person in Kontakt treten
11 Zusammenarbeit mit der Aufsichtsbehörde
Der Verantwortliche und der Auftragsverarbeiter und gegebenenfalls deren Vertreter arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.
12 Kontrollrechte des Verantwortlichen
12.1 Der Verantwortliche ist berechtigt, sich regelmäßig von der Einhaltung der Regelungen dieses Vertrages, insbesondere der Umsetzung und Einhaltung der technischen und organisatorischen Maßnahmen zu überzeugen. Hierfür kann er z.B. Auskünfte des Auftragsverarbeiters einholen, sich vorhandene Testate von Sachverständigen, Zertifizierungen oder internen Prüfungen vorlegen lassen oder die technischen und organisatorischen Maßnahmen des Auftragsverarbeiters zu den üblichen Geschäftszeiten selbst persönlich bzw. durch einen sachkundigen Dritten prüfen lassen, sofern dieser nicht in einem Wettbewerbsverhältnis zum Auftragsverarbeiter steht.
12.2 Der Verantwortliche wird Kontrollen nur im erforderlichen Umfang durchführen und angemessene Rücksicht auf die Betriebsabläufe des Auftragsverarbeiters nehmen. Über den Zeitpunkt sowie die Art der Prüfung verständigen sich die Parteien rechtzeitig.
12.3 Der Verantwortliche dokumentiert das Kontrollergebnis und teilt es dem Auftragsverarbeiter mit. Bei Fehlern oder Unregelmäßigkeiten, die der Verantwortliche insbesondere bei der Prüfung von Auftragsergebnissen feststellt, hat er den Auftragsverarbeiter unverzüglich zu informieren. Werden bei der Kontrolle Sachverhalte festgestellt, deren zukünftige Vermeidung Änderungen des angeordneten Verfahrensablaufs erfordern, teilt der Verantwortliche dem Auftragsverarbeiter die notwendigen Verfahrensänderungen unverzüglich mit.
13 Subunternehmer
13.1 Die Beauftragung von Subunternehmen ist im Rahmen dieses Vertrages möglich, sofern der Auftragsverarbeiter sicherstellt, dass der Subunternehmer die Pflichten aus diesem Vertrag gegenüber dem Auftragsverarbeiter übernimmt. Es gelten insbesondere die in diesem Vertrag festgelegten Anforderungen an Vertraulichkeit, Datenschutz und Datensicherheit.
13.2 Dem Verantwortlichen sind Kontroll- und Überprüfungsrechte entsprechend Ziff. 12 einzu-räumen. Durch schriftliche Aufforderung ist der Verantwortliche berechtigt, von dem Auf-tragsverarbeiter Auskunft über den wesentlichen Vertragsinhalt und die Umsetzung der datenschutzrelevanten Verpflichtungen des Subunternehmers zu erhalten, erforderlichen-falls auch durch Einsicht in die relevanten Vertragsunterlagen
13.3 Die vom Auftragsverarbeiter beauftragten Subunternehmer ergeben sich aus Anhang 2. Der Auftragsverarbeiter ist berechtigt, weitere Subunternehmer zu beauftragen oder Sub-unternehmer auszutauschen, sofern sie den Anforderungen gemäß Ziff. 13.1 und 13.2entsprechen und der Auftragsverarbeiter den Verantwortlichen hiervon in Kenntnis setzt und dieser nicht binnen vierzehn (14) Tagen schriftlich widerspricht.
13.4 Ein Subunternehmerverhältnis liegt nicht vor, wenn der Auftragsverarbeiter Dritte mit Dienstleistungen beauftragt, die als reine Nebenleistungen anzusehen sind. Dazu gehö-ren z.B. Post-, Transport- und Versandleistungen, Reinigungsleistungen, Bewachungs-dienste, Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die der Auftragsverarbeiter für den Verantwortlichen erbringt sowie sonstige Maßnahmen zur Si-cherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen. Die Pflicht des Auftragsverarbeiters, auch in diesen Fällen die Beachtung von Datenschutz und Datensicherheit sicherzustellen, bleibt unberührt
14 Vertraulichkeitsverpflichtung
Der Auftragsverarbeiter ist bei der Verarbeitung von personenbezogenen Daten zur Wahrung der Vertraulichkeit verpflichtet. Der Auftragsverarbeiter verpflichtet sich, die gleichen Geheimnisschutzregeln zu beachten, wie sie dem Verantwortlichen obliegen. Der Verantwortliche ist verpflichtet, dem Auftragsverarbeiter etwaige besondere Geheimnisschutzregeln schriftlich mitzuteilen.
15 Geographischer Umfang der Verarbeitung
Die Verarbeitung der personenbezogenen Daten findet ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44, 45, 46 DSGVO erfüllt sind. Soweit die Verarbeitung durch einen in Anhang 2 genannten Dritten erfolgt, erteilt der Verantwortlicher hiermit seine Zustimmung.
16 Schlussbestimmungen
16.1 Änderungen und Ergänzungen dieses Vertrags bedürfen der Schriftform. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
16.2 Die Regelungen dieses Vertrags gehen im Zweifel den Regelungen des Hauptvertrags vor.
16.3 Sollten sich einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise als unwirksam oder undurchführbar erweisen oder infolge Änderungen einer Gesetzgebung nach Vertragsabschluss unwirksam oder undurchführbar werden, wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung soll die wirksame und durchführbare Bestimmung treten, die dem Sinn und Zweck der nichtigen Bestimmung möglichst nahekommt.
16.4 Es gilt das Recht der Bundesrepublik Deutschland, mit Ausnahme des UN-Kaufrechts und Kollisionsrechts.
16.5 Ausschließlicher Gerichtsstand ist, soweit zulässig, der Sitz des Auftragsverarbeiters.
Anhang 1: Technisch-organisatorische Maßnahmen
Der Auftragsverarbeiter trifft unter Berücksichtigung des aktuellen Standes der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
Die nachfolgenden Maßnahmen dienen insbesondere dem Schutz der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Datenverarbeitungsprozesse.
1 Vertraulichkeit
1.1 Zutrittskontrolle
Es bestehen Maßnahmen, um unbefugten Personen den Zutritt zu Datenverarbeitungsanlagen zu verwehren. Hierzu zählen insbesondere:
• Zugriffsschutz auf Büroräume und Arbeitsplätze
• Nutzung passwortgeschützter Endgeräte
• Beschränkung des Zugangs zu produktiven Systemen auf autorisierte Personen
• Nutzung professioneller Hosting- und Cloud-Infrastrukturen mit physischen Sicherheitsmaßnahmen der jeweiligen Anbieter
• Hosting über ISO-/SOC-zertifizierte Infrastrukturpartner
• Besucherkontrolle bei externen Dienstleistern und Rechenzentren gemäß deren Sicherheitsstandards
1.2 Zugangskontrolle
Es bestehen Maßnahmen, um zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können. Hierzu zählen insbesondere:
• Personalisierte Benutzerkonten
• Passwortgeschützte Zugänge
• Rollenbasierte Berechtigungsvergabe
• Mehrstufige Authentifizierungsverfahren, soweit technisch verfügbar
• Protokollierung von Zugriffen
• Automatische Sperrung von Endgeräten bei Inaktivität
1.3 Zugriffskontrolle
Es bestehen Maßnahmen, die sicherstellen, dass ausschließlich berechtigte Personen Zugriff auf personenbezogene Daten erhalten. Hierzu zählen insbesondere:
• Rollen- und berechtigungsbasierte Zugriffskonzepte
• Zugriff nach dem „Least Privilege"-Prinzip
• Beschränkung administrativer Zugriffe auf notwendige Mitarbeiter
• Protokollierung relevanter Zugriffe und Änderungen
• Trennung von Entwicklungs-, Test- und Produktivumgebungen
• Nutzergetrennte Datenverarbeitung
Nutzerdaten unterschiedlicher Verantwortlicher werden logisch voneinander getrennt verarbeitet. Eine Vermischung von Daten unterschiedlicher Nutzer ist technisch ausgeschlossen.
1.4 Trennungskontrolle
Es wird sichergestellt, dass personenbezogene Daten getrennt nach Zweck und Nutzer verarbeitet werden. Hierzu zählen insbesondere:
• Nutzerfähige Systemarchitektur
• Logische Trennung von Nutzerdaten
• Getrennte Entwicklungs- und Produktivsysteme
• Differenzierte Berechtigungskonzepte
• Verarbeitung ausschließlich zweckgebunden
2 Integrität
2.1 Weitergabekontrolle
Es bestehen Maßnahmen, die sicherstellen, dass personenbezogene Daten bei Übertragung oder Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Hierzu zählen insbesondere:
• TLS-/SSL-verschlüsselte Datenübertragung
• Verschlüsselte Kommunikation zwischen Systemkomponenten
• Verschlüsselung gespeicherter Daten durch Infrastruktur- und Hostinganbieter
• Einsatz gesicherter Cloud- und Hosting-Infrastrukturen
• Nutzung vertraglich gebundener Unterauftragsverarbeiter mit DPA/SCC-Regelungen
• Beschränkung externer Datenzugriffe auf autorisierte Prozesse
2.2 Eingabekontrolle
Es bestehen Maßnahmen, die nachvollziehbar machen, welche personenbezogenen Daten wann und durch wen verarbeitet wurden. Hierzu zählen insbesondere:
• Systemseitige Protokollierung relevanter Vorgänge
• Benutzerbezogene Zuordnung von Änderungen
• Logging von Zugriffen und administrativen Tätigkeiten
3 Verfügbarkeit und Belastbarkeit
Es bestehen Maßnahmen, um personenbezogene Daten vor Verlust, Zerstörung oder Beschädigung zu schützen und die Verfügbarkeit der Systeme sicherzustellen. Hierzu zählen insbesondere:
• Nutzung redundanter Cloud-Infrastrukturen
• Regelmäßige Datensicherungen (Backups)
• Monitoring und Überwachung produktiver Systeme
• Sicherheitsupdates und Patchmanagement
• Einsatz von Firewall- und Sicherheitsmechanismen
• Notfall- und Wiederherstellungskonzepte
• Nutzung professioneller Hostinganbieter mit hoher Verfügbarkeit und ISO-/SOC-Zertifizierungen
• Redundante Speicherung und Wiederherstellungsverfahren
4 Verfahren zur regelmäßigen Überprüfung und Evaluierung
4.1 Datenschutzmanagement
Die dealdraft GmbH überprüft und bewertet die Wirksamkeit ihrer technischen und organisatorischen Maßnahmen regelmäßig. Hierzu zählen insbesondere:
• Regelmäßige Überprüfung interner Prozesse
• Anpassung technischer Schutzmaßnahmen an aktuelle Sicherheitsanforderungen
• Dokumentation relevanter Datenschutz- und Sicherheitsprozesse
• Zusammenarbeit mit externen Datenschutz- und Rechtsberatern
• Durchführung und Dokumentation datenschutzrechtlicher Bewertungen bei neuen Verarbeitungsvorgängen
4.2 Mitarbeiterschulungen und Vertraulichkeit
Mitarbeiter werden regelmäßig hinsichtlich Datenschutz, Datensicherheit und Vertraulichkeit sensibilisiert. Hierzu zählen insbesondere:
• Verpflichtung auf Vertraulichkeit
• Datenschutzbezogene Schulungen
• Beschränkung von Datenzugriffen auf erforderliche Mitarbeiter
• Sensibilisierung hinsichtlich sicherer Datenverarbeitung
4.3 Incident-Response-Management
Es bestehen Prozesse zur Behandlung sicherheitsrelevanter Vorfälle und Datenschutzverletzungen. Hierzu zählen insbesondere:
• Dokumentierte Prozesse zur Meldung und Bearbeitung von Sicherheitsvorfällen
• Bewertung möglicher Datenschutzverletzungen
• Zusammenarbeit mit externen Datenschutz- und IT-Sicherheitsberatern
• Verfahren zur Wiederherstellung und Absicherung betroffener Systeme
Anhang 2: Subunternehmer
HeyMagda-Plattform und -Apps
Stand: 1.6.2026
Präambel
Der Auftragsverarbeiter betreibt unter der Bezeichnung „HeyMagda" eine Software-Plattform sowie eine darin eingelegte Apps, über die von Nutzer bereitgestellte Informationen verarbeitet und – je nach Anwendungsfall – mit Unterstützung künstlicher Intelligenz analysiert werden. Der Verantwortliche nutzt diesen Dienst auf Grundlage der zwischen den Parteien geschlossenen Plattform- und App-Nutzungsbedingungen (gemeinsam nachfolgend „Hauptvertrag").
Der Verantwortliche ist nach den Regelungen des Hauptvertrags verpflichtet, bei der Nutzung keine personenbezogenen Daten zu verarbeiten, insbesondere solche nicht an den Auftragsverarbeiter zu übermitteln oder anderweitig zu erfassen. Soweit in den hochgeladenen Dokumenten dennoch personenbezogene Daten enthalten sein sollten, regelt dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag“) deren Verarbeitung durch den Auftragsverarbeiter.
Soweit es daher zu einer Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen i.S.d. Art. 4 Nr. 8 und Art. 28 der Verordnung (EU) 2016/679 – Datenschutz-Grundverordnung („DSGVO“) kommt, konkretisiert dieser Vertrag die datenschutzrechtlichen Verpflichtungen der Vertragsparteien. Dieser Vertrag findet auf alle Tätigkeiten Anwendung, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen Mitarbeiter des Auftragsverarbeiters oder durch Auftragsverarbeiter beauftragte Dritte mit vom Verantwortlichen zur Verfügung gestellten personenbezogenen Daten in Berührung kommen können.
1 Definitionen
1.1 „Personenbezogene Daten“ sind alle vom Verantwortlicher zur Verfügung gestellten Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind (Art. 4 Nr. 1 DSGVO).
1.2 „Verarbeitung“ bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung (Art. 4 Nr. 2 DSGVO).
1.3 „Weisungen“ sind alle Anweisungen, die der Verantwortlicher dem Auftragsverarbeiter erteilt und mit denen der Auftragsverarbeiter zur Verarbeitung personenbezogener Daten aufgefordert wird. Die Weisungen werden anfänglich durch den Hauptvertrag festgelegt und können vom Verantwortlichen danach durch einzelne Weisungen geändert, ergänzt oder ersetzt werden.
2 Gegenstand des Vertrags, Verantwortlichkeit
Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten im Auftrag des Verantwortlichen. Der Verantwortliche ist für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Weitergabe der personenbezogenen Daten an den Auftragsverarbeiter sowie die Rechtmäßigkeit der Verarbeitung dieser allein verantwortlich („Verantwortlicher“ im Sinne Art. 4 Nr. 7 DSGVO).
3 Dauer
Die Dauer dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Das Recht zur außerordentlichen Kündigung bleibt hiervon unberührt. Im Zweifel gilt eine Kündigung des Hauptvertrags auch als Kündigung dieses Vertrags und eine Kündigung dieses Vertrages als Kündigung des Hauptvertrages.
4 Umfang, Art und Zweck der vorgesehenen Verarbeitung personenbezogene
Die Leistungserbringung aus dem Hauptvertrag beinhaltet eine Pflicht des Nutzers, keine personenbezogenen Daten in Analysegegenstände einzubringen. Alleine für den Fall, dass der Nutzer dieser Verpflichtung nicht nachkommt, schließen die Parteien diese Vereinbarung.
Gegenstand der Verarbeitung sind voraussichtlich: Name, ggf. Adresse von Vertrags- oder Ansprechpartnern, Details zu Beruf und/oder Sozialversicherung sowie Gehaltsinformationen.
Der Zweck der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen ergibt sich aus dem Hauptvertrag.
5 Löschung und Herausgabe von Daten
5.1 Der Auftragsverarbeiter wird dem Verantwortlichen nach Beendigung des Hauptvertrags oder jederzeit auf dessen Verlangen alle ihm überlassenen Unterlagen, Daten und Datenträger zurückgeben oder auf Wunsch des Verantwortlichen, sofern nicht eine gesetzliche Aufbewahrungsfrist besteht, vollständig und unwiderruflich löschen.
5.2 Der Verantwortliche legt die Maßnahmen zur Herausgabe der überlassenen Datenträger und/oder Löschung der gespeicherten personenbezogenen Daten nach Beendigung des Vertrages vertraglich oder durch Weisung fest.
6 Technisch-organisatorische Maßnahmen
6.1 Der Auftragsverarbeiter wird seine innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er verpflichtet sich, alle geeigneten technischen und organisatorischen Maßnahmen zum angemessenen Schutz der Verantwortlichendaten gem. Art. 32 DSGVO, insbesondere die in Anhang 1 zu diesem Vertrag aufgeführten Maßnahmen, zu ergreifen und diese für die Dauer der Verarbeitung der Verantwortlichendaten aufrecht zu erhalten.
6.2 Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragsverarbeiter gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen, die die Integrität, Vertraulichkeit oder Verfügbarkeit der personenbezogenen Daten beeinträchtigen können, sind zu dokumentieren.
7 Weisungen
7.1 Der Verantwortliche hat das Recht, jederzeit Weisungen über Art, Umfang und Verfahren der Verarbeitung personenbezogener Daten gegenüber dem Auftragsverarbeiter zu erteilen. Weisungen sind vom Verantwortlichen schriftlich zu erteilen.
7.2 Der Auftragsverarbeiter darf personenbezogene Daten nur im Rahmen des Hauptvertrages, dieses Vertrages und von Weisungen verarbeiten, es sei denn, dass der Auftragsverarbeiter nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung der personenbezogenen Daten verpflichtet ist.
7.3 Der Auftragsverarbeiter muss dem Verantwortlichen von Ausnahmen von der Weisungspflicht aufgrund für ihn geltendem Recht unterrichten, es sei denn gerade dieses Recht verbietet solche Mitteilung wegen eines wichtigen öffentlichen Interesses.
7.4 Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung des Verantwortlichen gegen datenschutzrechtliche Bestimmungen verstößt, hat er den Verantwortlichen unverzüglich darauf hinzuweisen. Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung solange auszusetzen, bis diese durch den Verantwortlichen bestätigt oder geändert wird
8 Sonstige Rechte und Pflichten des Auftragsverarbeiters
8.1 Der Auftragsverarbeiter bestellt, soweit gesetzlich vorgeschrieben, einen Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 37, 38, 39 DSGVO ausüben kann. Dessen Kontaktdaten werden dem Verantwortlichen zum Zweck der direkten Kontaktaufnahme auf Anfrage mitgeteilt.
8.2 Der Auftragsverarbeiter stellt sicher, dass die mit der Verarbeitung der personenbezogenen Daten befassten Mitarbeiter auf das Datengeheimnis verpflichtet werden (Art. 29 DSGVO) und in die Schutzbestimmungen der DSGVO eingewiesen worden sind. Das Datengeheimnis besteht auch nach Beendigung der Tätigkeit fort.
8.3 Der Auftragsverarbeiter unterrichtet den Verantwortlichen bei schwerwiegenden Störungen des Betriebsablaufes, bei Verdacht auf Datenschutzverletzungen oder anderen Unregelmäßigkeiten bei der Verarbeitung der personenbezogenen Daten. Dies gilt auch für etwaige Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde nach Art. 51-59 DSGVO oder Ermittlungen nach Art. 83, 84 DSGVO.
8.4 Bei Störungen, Verdacht auf Datenschutzverletzungen oder Verletzungen vertraglicher Verpflichtungen des Auftragsverarbeiters, Verdacht auf sicherheitsrelevante Vorfälle oder andere Unregelmäßigkeiten bei der Verarbeitung der Verantwortlichendaten durch den Auftragsverarbeiter, bei ihm im Rahmen des Auftrags beschäftigten Personen oder durch Dritte wird der Auftragsverarbeiter den Verantwortlichen in Schriftform oder elektronischer Form informieren. Dasselbe gilt für Prüfungen des Auftragsverarbeiters durch die Datenschutz-Aufsichtsbehörde. Die Meldungen enthalten jeweils zumindest die in Art. 33 Abs. 3 DSGVO genannten Angaben. Der Auftragsverarbeiter hat angemessene Maßnahmen zur Sicherung der Daten sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen.
8.5 Der Auftragsverarbeiter ist verpflichtet, dem Verantwortlicher jederzeit Auskünfte zu erteilen, soweit seine Daten und Unterlagen von einer Verletzung des Schutzes personenbezogener Daten betroffen sind. Die datenschutzkonforme Vernichtung von Material übernimmt der Auftragsverarbeiter auf Grund einer Einzelbeauftragung durch den Verantwortlichen auf dessen Kosten. In besonderen, vom Verantwortlichen schriftlich zu bestimmenden Fällen, erfolgt eine Aufbewahrung bzw. Übergabe.
8.6 Die Verarbeitung von Daten in Privatwohnungen (Tele- bzw. Heimarbeit von Beschäftigten des Auftragsverarbeiters) wird vom Verantwortlichen gestattet. Soweit die Daten in einer Privatwohnung verarbeitet werden, sichert der Auftragsverarbeiter zu, dass die Maßnahmen nach Art. 32 DSGVO auch für Tele- und Heimarbeit sichergestellt werden.
8.7 Der Auftragsverarbeiter anonymisiert personenbezogene Daten in Analysegegenständen und unterstützt den Nutzer dabei mit der Erfüllung seiner Pflichten aus dem Hauptvertrag.
9 Rechte und Pflichten des Verantwortlichen
9.1 Der Verantwortliche ist für die Beurteilung der Zulässigkeit der Verarbeitung personenbezogener Daten sowie für die Wahrung der Rechte der Betroffenen allein verantwortlich.
9.2 Der Verantwortliche hat den Auftragsverarbeiter unverzüglich und vollständig schriftlich zu informieren, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.
9.3 Dem Verantwortlichen obliegen die aus Art. 33 DSGVO resultierenden Informationspflichten.
10 Anfragen Betroffener
10.1 Ist der Verantwortliche auf Grund geltender Datenschutzgesetze gegenüber einer Einzelperson verpflichtet, Auskünfte zur Verarbeitung dessen personenbezogenen Daten zu geben, wird der Auftragsverarbeiter den Verantwortlichen, soweit erforderlich, dabei unterstützen, diese Informationen bereit zu stellen, vorausgesetzt der Verantwortliche hat den Auftragsverarbeiter hierzu schriftlich aufgefordert.
10.2 Macht ein Betroffener Rechte, etwa auf Auskunftserteilung, Berichtigung oder Löschung hinsichtlich seiner Daten, unmittelbar gegenüber dem Auftragsverarbeiter geltend, wird der Auftragsverarbeiter dieses Ersuchen unverzüglich an den Verantwortlichen weiterleiten und wartet dessen Weisungen ab. Ohne entsprechende Weisung wird der Auftragsverarbeiter nicht mit der betroffenen Person in Kontakt treten
11 Zusammenarbeit mit der Aufsichtsbehörde
Der Verantwortliche und der Auftragsverarbeiter und gegebenenfalls deren Vertreter arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.
12 Kontrollrechte des Verantwortlichen
12.1 Der Verantwortliche ist berechtigt, sich regelmäßig von der Einhaltung der Regelungen dieses Vertrages, insbesondere der Umsetzung und Einhaltung der technischen und organisatorischen Maßnahmen zu überzeugen. Hierfür kann er z.B. Auskünfte des Auftragsverarbeiters einholen, sich vorhandene Testate von Sachverständigen, Zertifizierungen oder internen Prüfungen vorlegen lassen oder die technischen und organisatorischen Maßnahmen des Auftragsverarbeiters zu den üblichen Geschäftszeiten selbst persönlich bzw. durch einen sachkundigen Dritten prüfen lassen, sofern dieser nicht in einem Wettbewerbsverhältnis zum Auftragsverarbeiter steht.
12.2 Der Verantwortliche wird Kontrollen nur im erforderlichen Umfang durchführen und angemessene Rücksicht auf die Betriebsabläufe des Auftragsverarbeiters nehmen. Über den Zeitpunkt sowie die Art der Prüfung verständigen sich die Parteien rechtzeitig.
12.3 Der Verantwortliche dokumentiert das Kontrollergebnis und teilt es dem Auftragsverarbeiter mit. Bei Fehlern oder Unregelmäßigkeiten, die der Verantwortliche insbesondere bei der Prüfung von Auftragsergebnissen feststellt, hat er den Auftragsverarbeiter unverzüglich zu informieren. Werden bei der Kontrolle Sachverhalte festgestellt, deren zukünftige Vermeidung Änderungen des angeordneten Verfahrensablaufs erfordern, teilt der Verantwortliche dem Auftragsverarbeiter die notwendigen Verfahrensänderungen unverzüglich mit.
13 Subunternehmer
13.1 Die Beauftragung von Subunternehmen ist im Rahmen dieses Vertrages möglich, sofern der Auftragsverarbeiter sicherstellt, dass der Subunternehmer die Pflichten aus diesem Vertrag gegenüber dem Auftragsverarbeiter übernimmt. Es gelten insbesondere die in diesem Vertrag festgelegten Anforderungen an Vertraulichkeit, Datenschutz und Datensicherheit.
13.2 Dem Verantwortlichen sind Kontroll- und Überprüfungsrechte entsprechend Ziff. 12 einzu-räumen. Durch schriftliche Aufforderung ist der Verantwortliche berechtigt, von dem Auf-tragsverarbeiter Auskunft über den wesentlichen Vertragsinhalt und die Umsetzung der datenschutzrelevanten Verpflichtungen des Subunternehmers zu erhalten, erforderlichen-falls auch durch Einsicht in die relevanten Vertragsunterlagen
13.3 Die vom Auftragsverarbeiter beauftragten Subunternehmer ergeben sich aus Anhang 2. Der Auftragsverarbeiter ist berechtigt, weitere Subunternehmer zu beauftragen oder Sub-unternehmer auszutauschen, sofern sie den Anforderungen gemäß Ziff. 13.1 und 13.2entsprechen und der Auftragsverarbeiter den Verantwortlichen hiervon in Kenntnis setzt und dieser nicht binnen vierzehn (14) Tagen schriftlich widerspricht.
13.4 Ein Subunternehmerverhältnis liegt nicht vor, wenn der Auftragsverarbeiter Dritte mit Dienstleistungen beauftragt, die als reine Nebenleistungen anzusehen sind. Dazu gehö-ren z.B. Post-, Transport- und Versandleistungen, Reinigungsleistungen, Bewachungs-dienste, Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die der Auftragsverarbeiter für den Verantwortlichen erbringt sowie sonstige Maßnahmen zur Si-cherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen. Die Pflicht des Auftragsverarbeiters, auch in diesen Fällen die Beachtung von Datenschutz und Datensicherheit sicherzustellen, bleibt unberührt
14 Vertraulichkeitsverpflichtung
Der Auftragsverarbeiter ist bei der Verarbeitung von personenbezogenen Daten zur Wahrung der Vertraulichkeit verpflichtet. Der Auftragsverarbeiter verpflichtet sich, die gleichen Geheimnisschutzregeln zu beachten, wie sie dem Verantwortlichen obliegen. Der Verantwortliche ist verpflichtet, dem Auftragsverarbeiter etwaige besondere Geheimnisschutzregeln schriftlich mitzuteilen.
15 Geographischer Umfang der Verarbeitung
Die Verarbeitung der personenbezogenen Daten findet ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44, 45, 46 DSGVO erfüllt sind. Soweit die Verarbeitung durch einen in Anhang 2 genannten Dritten erfolgt, erteilt der Verantwortlicher hiermit seine Zustimmung.
16 Schlussbestimmungen
16.1 Änderungen und Ergänzungen dieses Vertrags bedürfen der Schriftform. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
16.2 Die Regelungen dieses Vertrags gehen im Zweifel den Regelungen des Hauptvertrags vor.
16.3 Sollten sich einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise als unwirksam oder undurchführbar erweisen oder infolge Änderungen einer Gesetzgebung nach Vertragsabschluss unwirksam oder undurchführbar werden, wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung soll die wirksame und durchführbare Bestimmung treten, die dem Sinn und Zweck der nichtigen Bestimmung möglichst nahekommt.
16.4 Es gilt das Recht der Bundesrepublik Deutschland, mit Ausnahme des UN-Kaufrechts und Kollisionsrechts.
16.5 Ausschließlicher Gerichtsstand ist, soweit zulässig, der Sitz des Auftragsverarbeiters.
Anhang 1: Technisch-organisatorische Maßnahmen
Der Auftragsverarbeiter trifft unter Berücksichtigung des aktuellen Standes der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
Die nachfolgenden Maßnahmen dienen insbesondere dem Schutz der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Datenverarbeitungsprozesse.
1 Vertraulichkeit
1.1 Zutrittskontrolle
Es bestehen Maßnahmen, um unbefugten Personen den Zutritt zu Datenverarbeitungsanlagen zu verwehren. Hierzu zählen insbesondere:
• Zugriffsschutz auf Büroräume und Arbeitsplätze
• Nutzung passwortgeschützter Endgeräte
• Beschränkung des Zugangs zu produktiven Systemen auf autorisierte Personen
• Nutzung professioneller Hosting- und Cloud-Infrastrukturen mit physischen Sicherheitsmaßnahmen der jeweiligen Anbieter
• Hosting über ISO-/SOC-zertifizierte Infrastrukturpartner
• Besucherkontrolle bei externen Dienstleistern und Rechenzentren gemäß deren Sicherheitsstandards
1.2 Zugangskontrolle
Es bestehen Maßnahmen, um zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können. Hierzu zählen insbesondere:
• Personalisierte Benutzerkonten
• Passwortgeschützte Zugänge
• Rollenbasierte Berechtigungsvergabe
• Mehrstufige Authentifizierungsverfahren, soweit technisch verfügbar
• Protokollierung von Zugriffen
• Automatische Sperrung von Endgeräten bei Inaktivität
1.3 Zugriffskontrolle
Es bestehen Maßnahmen, die sicherstellen, dass ausschließlich berechtigte Personen Zugriff auf personenbezogene Daten erhalten. Hierzu zählen insbesondere:
• Rollen- und berechtigungsbasierte Zugriffskonzepte
• Zugriff nach dem „Least Privilege"-Prinzip
• Beschränkung administrativer Zugriffe auf notwendige Mitarbeiter
• Protokollierung relevanter Zugriffe und Änderungen
• Trennung von Entwicklungs-, Test- und Produktivumgebungen
• Nutzergetrennte Datenverarbeitung
Nutzerdaten unterschiedlicher Verantwortlicher werden logisch voneinander getrennt verarbeitet. Eine Vermischung von Daten unterschiedlicher Nutzer ist technisch ausgeschlossen.
1.4 Trennungskontrolle
Es wird sichergestellt, dass personenbezogene Daten getrennt nach Zweck und Nutzer verarbeitet werden. Hierzu zählen insbesondere:
• Nutzerfähige Systemarchitektur
• Logische Trennung von Nutzerdaten
• Getrennte Entwicklungs- und Produktivsysteme
• Differenzierte Berechtigungskonzepte
• Verarbeitung ausschließlich zweckgebunden
2 Integrität
2.1 Weitergabekontrolle
Es bestehen Maßnahmen, die sicherstellen, dass personenbezogene Daten bei Übertragung oder Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Hierzu zählen insbesondere:
• TLS-/SSL-verschlüsselte Datenübertragung
• Verschlüsselte Kommunikation zwischen Systemkomponenten
• Verschlüsselung gespeicherter Daten durch Infrastruktur- und Hostinganbieter
• Einsatz gesicherter Cloud- und Hosting-Infrastrukturen
• Nutzung vertraglich gebundener Unterauftragsverarbeiter mit DPA/SCC-Regelungen
• Beschränkung externer Datenzugriffe auf autorisierte Prozesse
2.2 Eingabekontrolle
Es bestehen Maßnahmen, die nachvollziehbar machen, welche personenbezogenen Daten wann und durch wen verarbeitet wurden. Hierzu zählen insbesondere:
• Systemseitige Protokollierung relevanter Vorgänge
• Benutzerbezogene Zuordnung von Änderungen
• Logging von Zugriffen und administrativen Tätigkeiten
3 Verfügbarkeit und Belastbarkeit
Es bestehen Maßnahmen, um personenbezogene Daten vor Verlust, Zerstörung oder Beschädigung zu schützen und die Verfügbarkeit der Systeme sicherzustellen. Hierzu zählen insbesondere:
• Nutzung redundanter Cloud-Infrastrukturen
• Regelmäßige Datensicherungen (Backups)
• Monitoring und Überwachung produktiver Systeme
• Sicherheitsupdates und Patchmanagement
• Einsatz von Firewall- und Sicherheitsmechanismen
• Notfall- und Wiederherstellungskonzepte
• Nutzung professioneller Hostinganbieter mit hoher Verfügbarkeit und ISO-/SOC-Zertifizierungen
• Redundante Speicherung und Wiederherstellungsverfahren
4 Verfahren zur regelmäßigen Überprüfung und Evaluierung
4.1 Datenschutzmanagement
Die dealdraft GmbH überprüft und bewertet die Wirksamkeit ihrer technischen und organisatorischen Maßnahmen regelmäßig. Hierzu zählen insbesondere:
• Regelmäßige Überprüfung interner Prozesse
• Anpassung technischer Schutzmaßnahmen an aktuelle Sicherheitsanforderungen
• Dokumentation relevanter Datenschutz- und Sicherheitsprozesse
• Zusammenarbeit mit externen Datenschutz- und Rechtsberatern
• Durchführung und Dokumentation datenschutzrechtlicher Bewertungen bei neuen Verarbeitungsvorgängen
4.2 Mitarbeiterschulungen und Vertraulichkeit
Mitarbeiter werden regelmäßig hinsichtlich Datenschutz, Datensicherheit und Vertraulichkeit sensibilisiert. Hierzu zählen insbesondere:
• Verpflichtung auf Vertraulichkeit
• Datenschutzbezogene Schulungen
• Beschränkung von Datenzugriffen auf erforderliche Mitarbeiter
• Sensibilisierung hinsichtlich sicherer Datenverarbeitung
4.3 Incident-Response-Management
Es bestehen Prozesse zur Behandlung sicherheitsrelevanter Vorfälle und Datenschutzverletzungen. Hierzu zählen insbesondere:
• Dokumentierte Prozesse zur Meldung und Bearbeitung von Sicherheitsvorfällen
• Bewertung möglicher Datenschutzverletzungen
• Zusammenarbeit mit externen Datenschutz- und IT-Sicherheitsberatern
• Verfahren zur Wiederherstellung und Absicherung betroffener Systeme
Anhang 2: Subunternehmer
