Auftragsverarbeitungsvereinbarung (AVV)

Zwischen dem Kunden gemäß dem Hauptvertrag (im Folgenden: Verantwortlicher) und Patrick Kurz, Coreforge, Bachstraße 17, 76287 Rheinstetten, E-Mail: info@coreforge.de (im Folgenden: Auftragnehmer).

Präambel

Im Rahmen der zwischen den Parteien bestehenden Geschäftsbeziehung (im Folgenden: „Hauptvertrag“) erbringt der Auftragnehmer Leistungen, bei denen personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet werden. Diese Auftragsverarbeitungsvereinbarung (im Folgenden: „AVV“) regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten nach Art. 28 DSGVO. Diese AVV ist Bestandteil der Allgemeinen Geschäftsbedingungen des Auftragnehmers und gilt für sämtliche Leistungen, im Rahmen derer der Auftragnehmer im Auftrag des Verantwortlichen personenbezogene Daten verarbeitet.

§ 1 Gegenstand, Art und Dauer der Verarbeitung

1.1 Gegenstand

Gegenstand der Verarbeitung sind diejenigen personenbezogenen Daten, die der Auftragnehmer im Rahmen der Erbringung der im Hauptvertrag vereinbarten Leistungen im Auftrag des Verantwortlichen verarbeitet. Dies umfasst insbesondere – je nach beauftragten Leistungen – die folgenden Tätigkeiten:
a) Webseiten- und Shopdienstleistungen: Erstellung, Betrieb, Wartung und Hosting von Webseiten/Shops einschließlich der Verarbeitung von Daten der Endnutzer (z. B. Besucher, Kunden, Newsletter-Abonnenten des Verantwortlichen);
b) Digital Signage: Verwaltung digitaler Werbe- und Interaktivbildschirme einschließlich der Verarbeitung von Inhalten, die personenbezogene Daten enthalten können (z. B. Mitarbeiterfotos, Veranstaltungsdaten);
c) Social-Media- und Google-Profil-Management: Pflege von Profilen in sozialen Netzwerken und Google-Unternehmensprofilen einschließlich der Verarbeitung von Daten der Interagierenden (z. B. Kommentare, Bewertungen, Nachrichten);
d) Automatisierung und KI-Workflows: Aufbau und Betrieb von Workflows, die personenbezogene Daten verarbeiten (z. B. Lead-Daten, Kundendaten, Anfragen);
e) Marketing-Dienstleistungen: SEO, SEA und Werbeanzeigen einschließlich der Verarbeitung von Tracking- und Konversionsdaten;
f) Content-Erstellung: Erstellung und Bearbeitung von Inhalten, die personenbezogene Daten enthalten können.

1.2 Art und Zweck

Die Verarbeitung dient ausschließlich der Erfüllung des Hauptvertrags. Der Auftragnehmer verarbeitet die Daten ausschließlich auf Grundlage dokumentierter Weisungen des Verantwortlichen (siehe § 4).

1.3 Dauer

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Pflichten zur Löschung oder Rückgabe nach Vertragsende ergeben sich aus § 11.

§ 2 Art der personenbezogenen Daten und Kategorien betroffener Personen

2.1 Datenarten

Verarbeitet werden – je nach beauftragten Leistungen und im jeweils erforderlichen Umfang – insbesondere folgende Kategorien personenbezogener Daten:
a) Stammdaten: Name, Vorname, Anrede, Geburtsdatum, Anschrift, Kommunikationsdaten (E-Mail, Telefon);
b) Vertragsdaten: Vertragsbeziehungen, Vertragshistorie, Bestellungen, Rechnungen;
c) Kommunikationsdaten: Inhalte von Kontaktformularen, E-Mails, Chatnachrichten, Kommentaren, Bewertungen;
d) Nutzungs- und Tracking-Daten: IP-Adressen, Geräteinformationen, Browser-Daten, Klick- und Bewegungsdaten auf Webseiten, Conversion-Daten;
e) Inhalts- und Profildaten: Fotos, Videos, Texte, Social-Media-Profildaten (sofern öffentlich oder bereitgestellt);
f) Zahlungsdaten: Zahlungsstatus, Transaktions-IDs (Kartendaten werden ausschließlich vom eingesetzten Zahlungsdienstleister verarbeitet und sind dem Auftragnehmer nicht zugänglich);
g) Standortdaten: soweit für die jeweilige Leistung erforderlich (z. B. bei Local-SEO oder ortsbezogenen Kampagnen).
Soweit ausnahmsweise besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO verarbeitet werden sollen, wird dies zwischen den Parteien gesondert vereinbart.

2.2 Kategorien betroffener Personen

Betroffene Personen können – je nach beauftragten Leistungen – insbesondere sein:
a) Kunden des Verantwortlichen (Bestands- und Interessenten);
b) Mitarbeiter und Geschäftspartner des Verantwortlichen, soweit relevant;
c) Besucher der Webseiten des Verantwortlichen;
d) Empfänger von Marketing-Maßnahmen des Verantwortlichen;
e) Nutzer und Interagierende der Social-Media-Profile und Google-Unternehmensprofile des Verantwortlichen;
f) Sonstige Personen, deren Daten im Rahmen der Leistungserbringung verarbeitet werden.

§ 3 Pflichten und Rechte des Verantwortlichen

3.1 Verantwortlichkeit

Der Verantwortliche ist im Sinne von Art. 4 Nr. 7 DSGVO allein verantwortlich für die Rechtmäßigkeit der Datenverarbeitung sowie für die Wahrung der Rechte der betroffenen Personen. Dies umfasst insbesondere:
a) das Vorliegen einer Rechtsgrundlage für die Verarbeitung (Art. 6 DSGVO bzw. Art. 9 DSGVO);
b) die Erfüllung der Informationspflichten gegenüber betroffenen Personen (Art. 13, 14 DSGVO);
c) die Wahrung der Betroffenenrechte (Art. 15–22 DSGVO);
d) die Beurteilung der Erforderlichkeit einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO);
e) die Pflicht zur Meldung von Datenschutzverletzungen an die Aufsichtsbehörde und ggf. an betroffene Personen (Art. 33, 34 DSGVO), unbeschadet der Mitwirkungspflichten des Auftragnehmers nach § 9.

3.2 Weisungsrecht

Der Verantwortliche ist berechtigt, dem Auftragnehmer Weisungen zur Art und zum Umfang der Datenverarbeitung zu erteilen. Weisungen sind grundsätzlich in Textform (z. B. per E-Mail) zu erteilen. Mündliche Weisungen sind vom Verantwortlichen unverzüglich in Textform zu bestätigen.

3.3 Ansprechpartner

Der Verantwortliche benennt dem Auftragnehmer einen Ansprechpartner für datenschutzrechtliche Angelegenheiten. Erfolgt keine gesonderte Benennung, gilt der im Hauptvertrag genannte Hauptansprechpartner.

§ 4 Weisungen des Verantwortlichen

4.1 Weisungsgebundenheit

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf Grundlage dokumentierter Weisungen des Verantwortlichen. Als Weisung gelten neben gesonderten Weisungen insbesondere auch die im Hauptvertrag und in dieser AVV festgelegten Verarbeitungsvorgaben.

4.2 Hinweispflicht bei rechtswidrigen Weisungen

Ist der Auftragnehmer der Auffassung, dass eine Weisung des Verantwortlichen gegen datenschutzrechtliche Bestimmungen verstößt, hat er den Verantwortlichen unverzüglich darauf hinzuweisen. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wurde.

4.3 Verarbeitung außerhalb des Auftrags

Eine Verarbeitung der Daten zu anderen als den im Hauptvertrag und in dieser AVV festgelegten Zwecken findet nicht statt, es sei denn, der Auftragnehmer ist hierzu nach Unionsrecht oder nach dem Recht eines Mitgliedstaats verpflichtet. In diesem Fall teilt der Auftragnehmer dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das jeweilige Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

§ 5 Pflichten des Auftragnehmers

5.1 Allgemeine Pflichten

Der Auftragnehmer verpflichtet sich, die einschlägigen datenschutzrechtlichen Bestimmungen einzuhalten, insbesondere:
a) die Datenverarbeitung nur auf Grundlage dokumentierter Weisungen des Verantwortlichen durchzuführen;
b) die Vertraulichkeit gemäß § 5.2 sicherzustellen;
c) angemessene technische und organisatorische Maßnahmen gemäß § 6 zu treffen und aufrechtzuerhalten;
d) den Verantwortlichen bei der Wahrnehmung seiner Pflichten gemäß §§ 8 und 9 zu unterstützen;
e) die Pflichten in Bezug auf Unterauftragsverarbeiter gemäß § 7 zu erfüllen;
f) personenbezogene Daten nach Beendigung der Verarbeitung gemäß § 11 zu löschen oder zurückzugeben;
g) dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der vorgenannten Pflichten zur Verfügung zu stellen und Überprüfungen gemäß § 10 zu ermöglichen.

5.2 Vertraulichkeit

Der Auftragnehmer stellt sicher, dass alle mit der Verarbeitung personenbezogener Daten befassten Personen (Mitarbeiter, Subunternehmer, sonstige Hilfspersonen) zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verschwiegenheitsverpflichtung besteht auch nach Beendigung des Hauptvertrags fort.

5.3 Datenschutzbeauftragter

Der Auftragnehmer ist nach dem derzeitigen Stand seiner Geschäftstätigkeit nicht zur Bestellung eines Datenschutzbeauftragten nach Art. 37 DSGVO bzw. § 38 BDSG verpflichtet. Sollte sich dies ändern, wird der Auftragnehmer den Verantwortlichen unverzüglich informieren und einen Datenschutzbeauftragten benennen.

5.4 Verarbeitungsverzeichnis

Der Auftragnehmer führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten im Sinne von Art. 30 Abs. 2 DSGVO und stellt es dem Verantwortlichen sowie der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung.

§ 6 Technische und organisatorische Maßnahmen (TOMs)

6.1 Verpflichtung

Der Auftragnehmer trifft die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO zur Sicherstellung eines dem Risiko angemessenen Schutzniveaus. Die aktuell getroffenen Maßnahmen sind in Anlage 2 zu dieser AVV dokumentiert.

6.2 Anpassung

Die TOMs unterliegen dem technischen Fortschritt und der Weiterentwicklung. Dem Auftragnehmer ist es gestattet, alternative angemessene Maßnahmen zu treffen, sofern das Schutzniveau der vereinbarten Maßnahmen nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren.

6.3 Nachweis

Auf Anfrage stellt der Auftragnehmer dem Verantwortlichen den jeweils aktuellen Stand der TOMs zur Verfügung.

§ 7 Unterauftragsverarbeitung

7.1 Allgemeine Genehmigung

Der Verantwortliche erteilt dem Auftragnehmer hiermit die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter (Unterauftragsverarbeiter / Subprozessoren) im Sinne von Art. 28 Abs. 2 DSGVO.

7.2 Aktuelle Liste der Unterauftragsverarbeiter

Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 1 zu dieser AVV aufgeführt. Die jeweils aktuelle Liste ist unter coreforge.de/subprozessoren abrufbar.

7.3 Information bei Änderungen

Der Auftragnehmer wird den Verantwortlichen über beabsichtigte Änderungen der Liste der Unterauftragsverarbeiter (Hinzufügen, Auswechseln) mindestens vier (4) Wochen vor Inkrafttreten der Änderung in Textform (z. B. per E-Mail oder über coreforge.de/subprozessoren mit aktiver Mitteilung) informieren.

7.4 Widerspruchsrecht

Der Verantwortliche kann gegen eine Änderung innerhalb von zwei (2) Wochen nach Zugang der Mitteilung aus berechtigten datenschutzrechtlichen Gründen in Textform Widerspruch einlegen. Im Falle eines wirksamen Widerspruchs werden die Parteien zunächst gemeinsam eine einvernehmliche Lösung suchen. Lässt sich keine Einigung erzielen, ist jede Partei berechtigt, den Hauptvertrag mit Wirkung zum Zeitpunkt des Inkrafttretens der Änderung außerordentlich zu kündigen.

7.5 Vertragliche Pflichten gegenüber Subprozessoren

Der Auftragnehmer wird mit jedem Unterauftragsverarbeiter einen Vertrag schließen, der den vorliegenden datenschutzrechtlichen Anforderungen entspricht. Der Auftragnehmer haftet gegenüber dem Verantwortlichen für die Einhaltung der datenschutzrechtlichen Pflichten durch den Unterauftragsverarbeiter wie für sein eigenes Verhalten.

7.6 Drittlandsübermittlung

Soweit der Auftragnehmer oder von ihm eingesetzte Unterauftragsverarbeiter personenbezogene Daten in Länder außerhalb des Europäischen Wirtschaftsraums (Drittländer) übermitteln, stellt der Auftragnehmer sicher, dass eine geeignete Garantie nach Art. 44 ff. DSGVO vorliegt, insbesondere:
a) ein gültiger Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO);
b) Standardvertragsklauseln nach Beschluss (EU) 2021/914 (Art. 46 Abs. 2 lit. c DSGVO);
c) eine Zertifizierung unter einem anerkannten Rahmen (z. B. EU-US Data Privacy Framework, sofern anwendbar);
d) oder eine andere geeignete Garantie nach Art. 46 DSGVO.
Hinweise auf die jeweils einschlägige Rechtsgrundlage je Unterauftragsverarbeiter enthält die Subprozessoren-Liste (Anlage 1 zur AVV).

7.7 Nicht als Unterauftragsverarbeitung gelten

Als Unterauftragsverarbeitung gelten nicht reine Hilfsleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt und bei denen keine personenbezogenen Daten des Verantwortlichen verarbeitet werden (z. B. Telekommunikationsdienste, Reinigungskräfte, Wartungspersonal, Postdienste).

§ 8 Unterstützung bei Wahrung der Betroffenenrechte

8.1 Bearbeitung von Betroffenenanfragen

Wendet sich eine betroffene Person mit einem Anliegen zur Wahrnehmung ihrer Rechte (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) unmittelbar an den Auftragnehmer, leitet der Auftragnehmer dieses Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet die Anfrage nicht eigenständig.

8.2 Unterstützungspflicht

Der Auftragnehmer unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen, soweit dies im Rahmen der Verarbeitungsdienstleistungen möglich ist. Der Auftragnehmer stellt insbesondere die für die Beantwortung erforderlichen Informationen zur Verfügung.

8.3 Kostenerstattung

Eine Unterstützung im üblichen Rahmen ist im vereinbarten Entgelt für die Hauptleistungen enthalten. Aufwendungen, die über den üblichen Rahmen hinausgehen (z. B. umfangreiche Auskunftsersuchen, mehrfache Anfragen einer einzelnen Person), kann der Auftragnehmer dem Verantwortlichen zu üblichen Stundensätzen in Rechnung stellen.

§ 9 Meldung von Datenschutzverletzungen

9.1 Meldepflicht

Der Auftragnehmer informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden, über jede Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO, die im Verantwortungsbereich des Auftragnehmers oder eines Unterauftragsverarbeiters auftritt.

9.2 Inhalt der Meldung

Die Meldung enthält – soweit dem Auftragnehmer bekannt – insbesondere:
a) eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten;
b) die Kategorien und ungefähre Zahl der betroffenen Personen;
c) die Kategorien und ungefähre Zahl der betroffenen Datensätze;
d) eine Beschreibung der wahrscheinlichen Folgen;
e) eine Beschreibung der zur Behebung der Verletzung ergriffenen oder vorgeschlagenen Maßnahmen.

9.3 Mitwirkung bei Meldungen

Der Auftragnehmer unterstützt den Verantwortlichen bei der Erfüllung von dessen Meldepflichten gegenüber Aufsichtsbehörden (Art. 33 DSGVO) und betroffenen Personen (Art. 34 DSGVO).

§ 10 Kontrollrechte des Verantwortlichen

10.1 Auditrecht

Der Verantwortliche ist berechtigt, sich im erforderlichen Umfang von der Einhaltung der vereinbarten datenschutzrechtlichen Pflichten beim Auftragnehmer zu überzeugen. Hierzu kann er insbesondere:
a) schriftliche Auskünfte vom Auftragnehmer einholen;
b) anerkannte Zertifikate, Prüfberichte oder vergleichbare Nachweise einsehen;
c) nach vorheriger Anmeldung mit angemessener Frist (mindestens 14 Tage) eine Inspektion an den Geschäftsräumen des Auftragnehmers während der üblichen Geschäftszeiten durchführen oder durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen.

10.2 Zumutbarkeit

Vor-Ort-Kontrollen werden so durchgeführt, dass der Geschäftsbetrieb des Auftragnehmers nicht unangemessen beeinträchtigt wird. Der Auftragnehmer kann der Inspektion durch einen vom Verantwortlichen benannten Dritten widersprechen, wenn dieser in einem Wettbewerbsverhältnis zum Auftragnehmer steht; in diesem Fall benennt der Verantwortliche einen anderen Prüfer.

10.3 Kosten

Der Aufwand des Auftragnehmers für Audits und Kontrollen, die über die übliche Auskunftserteilung hinausgehen, ist vom Verantwortlichen nach Aufwand zu vergüten, sofern die Prüfung nicht auf einen vom Auftragnehmer zu vertretenden Datenschutzverstoß hin erfolgt.

§ 11 Löschung und Rückgabe von Daten

11.1 Nach Beendigung der Verarbeitung

Nach Beendigung der Verarbeitung (spätestens 30 Tage nach Beendigung des Hauptvertrags) wird der Auftragnehmer – nach Wahl des Verantwortlichen – alle personenbezogenen Daten löschen oder dem Verantwortlichen zurückgeben. Eine Anforderung zur Rückgabe muss innerhalb von 30 Tagen nach Vertragsende in Textform erfolgen.

11.2 Vorhandene Kopien

Bestehende Kopien werden gelöscht, sofern nicht eine gesetzliche oder vertragliche Aufbewahrungspflicht eine längere Speicherung verlangt. Soweit der Auftragnehmer aufgrund gesetzlicher Aufbewahrungspflichten zur weiteren Speicherung verpflichtet ist (z. B. handels- oder steuerrechtliche Aufbewahrungsfristen), erfolgt die Löschung erst nach Ablauf der entsprechenden Fristen.

11.3 Bestätigung

Der Auftragnehmer bestätigt dem Verantwortlichen die Löschung auf Anfrage in Textform.

11.4 Format der Rückgabe

Bei einer Rückgabe der Daten erfolgt die Übergabe in einem gängigen, maschinenlesbaren Format (z. B. CSV, JSON, ZIP-Archiv). Eine Migration in spezifische Systeme des Verantwortlichen oder eines Dritten ist nicht geschuldet, kann aber gemäß Hauptvertrag gesondert beauftragt werden.

§ 12 Haftung

12.1 Grundsatz

Für die Haftung der Parteien gelten die Regelungen des Hauptvertrags und die zwingenden gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO.

12.2 Innenverhältnis

Im Innenverhältnis tragen die Parteien Schadensersatzleistungen an betroffene Personen entsprechend ihres jeweiligen Verschuldensanteils.

12.3 Freistellung

Wird eine Partei aufgrund eines Datenschutzverstoßes, den die andere Partei zu vertreten hat, durch betroffene Personen oder Dritte in Anspruch genommen, stellt die andere Partei sie im Rahmen ihres Verschuldensanteils von diesen Ansprüchen frei.

§ 13 Vertragsdauer und Beendigung

13.1 Dauer

Diese AVV tritt mit Beginn des Hauptvertrags in Kraft und endet mit dessen Beendigung. Pflichten, die ihrer Natur nach über die Beendigung hinausgehen (insbesondere Vertraulichkeit, Löschung), bleiben hiervon unberührt.

13.2 Außerordentliche Kündigung

Jede Partei ist zur außerordentlichen Kündigung dieser AVV (und damit zugleich des Hauptvertrags, soweit dieser ohne die AVV nicht durchgeführt werden kann) berechtigt, wenn die andere Partei wesentliche Pflichten aus dieser AVV trotz Abmahnung und Fristsetzung schwerwiegend oder wiederholt verletzt.

§ 14 Sonstiges

14.1 Vorrang

Im Falle von Widersprüchen zwischen dieser AVV und dem Hauptvertrag (einschließlich der AGB) gehen die Regelungen dieser AVV in datenschutzrechtlichen Fragen vor.

14.2 Schriftform

Änderungen und Ergänzungen dieser AVV bedürfen der Textform (z. B. per E-Mail). Dies gilt auch für die Abbedingung dieses Formerfordernisses.

14.3 Salvatorische Klausel

Sollten einzelne Bestimmungen dieser AVV ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden die unwirksame Bestimmung durch eine wirksame Bestimmung ersetzen, die dem wirtschaftlichen und datenschutzrechtlichen Zweck der unwirksamen Regelung am nächsten kommt.

14.4 Anwendbares Recht

Diese AVV unterliegt dem Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

14.5 Gerichtsstand

Gerichtsstand für sämtliche Streitigkeiten aus dieser AVV ist – soweit gesetzlich zulässig – der Sitz des Auftragnehmers.

Anlage 1 zur AVV – Liste der Unterauftragsverarbeiter (Subprozessoren)

Bei Änderungen erfolgt eine Information gemäß § 7 dieser AVV. Die nachfolgend genannten Unterauftragsverarbeiter sind zum Stand dieser AVV im Einsatz; die jeweils aktuelle Liste ist unter coreforge.de/subprozessoren abrufbar.

Onepage GmbH (Neue Rothofstr. 13–19, 60313 Frankfurt am Main, Deutschland) – Website-Erstellung, Hosting sowie Kontaktformulare/CRM – Webseiteninhalte, Server- und Besucher-Logdaten, Formular- und Lead-Daten – Server innerhalb der EU (Google Cloud), keine Drittlandsübermittlung.
n8n GmbH (Berlin, Deutschland) – Workflow-Automatisierung – je nach Workflow-Konfiguration (z. B. Lead-, Kunden- und Anfragedaten) – Deutschland bzw. EU, keine Drittlandsübermittlung (bei abweichendem Hosting ggf. Standardvertragsklauseln).
Make (Make.com, Celonis SE / Make Internationals s.r.o., Prag, Tschechien; z. T. Verarbeitung in den USA) – Workflow-Automatisierung – je nach Workflow-Konfiguration – teilweise USA, Standardvertragsklauseln nach Beschluss (EU) 2021/914.
OptiSigns Inc. (7676 Hillmont Street, Houston, Texas, USA; EU-Büro München) – Digital-Signage-CMS zur Ausspielung von Inhalten auf den Stadtsäulen – Inhalte, Anzeige-Metadaten – USA, EU-US Data Privacy Framework / Standardvertragsklauseln.
Yodeck (Flipnode LLC, San Francisco, Kalifornien, USA; Entwicklung in Athen, Griechenland) – Digital-Signage-CMS – Inhalte, Anzeige-Metadaten – USA, Standardvertragsklauseln nach Beschluss (EU) 2021/914.
Google Workspace (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Verarbeitung z. T. durch Google LLC in den USA) – E-Mail, Dokumente, Kalender und Zusammenarbeit – Stamm- und Kommunikationsdaten je nach Nutzung – teilweise USA, EU-US Data Privacy Framework / Standardvertragsklauseln.

Anlage 2 zur AVV – Technische und organisatorische Maßnahmen (TOMs)

Hinweis: Diese TOMs sind an die tatsächlichen operativen Gegebenheiten des Auftragnehmers angepasst (kleines Team, hauptsächlich Remote-Arbeit, Einsatz cloudbasierter Tools). Vor Verwendung müssen die dokumentierten Maßnahmen mit der gelebten Praxis abgeglichen werden – nur tatsächlich umgesetzte Maßnahmen dürfen angegeben werden.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle (physisch):
– Arbeitsplätze in privaten oder verschlossenen Räumlichkeiten
– Verschluss von Räumlichkeiten bei Abwesenheit
– Schlüsselverwaltung mit dokumentierter Schlüsselausgabe
– Keine Datenverarbeitung in öffentlichen Räumen ohne Sichtschutz

Zugangskontrolle (zu Systemen):
– Persönliche und individuelle Benutzerkonten für alle Mitarbeiter und Subunternehmer
– Starke Passwörter (mindestens 12 Zeichen, Komplexitätsanforderungen)
– Zentrale Passwortverwaltung über einen Passwortmanager
– Zwei-Faktor-Authentifizierung (2FA) für alle geschäftskritischen Zugänge und alle Drittanbieter-Konten
– Festplattenverschlüsselung auf allen mobilen Endgeräten (Laptops)
– Automatische Bildschirmsperre nach Inaktivität
– Sofortige Sperrung von Zugängen bei Ausscheiden von Mitarbeitern oder Beendigung von Subunternehmer-Verträgen

Zugriffskontrolle (auf Daten):
– Rollenbasiertes Berechtigungskonzept (Need-to-know-Prinzip)
– Differenzierte Zugriffsrechte je nach Aufgabengebiet
– Regelmäßige Überprüfung der vergebenen Berechtigungen
– Protokollierung administrativer Zugriffe
– Verschlüsselte Datenablage in den eingesetzten Cloud-Diensten

Trennungsgebot:
– Mandantenfähige Cloud-Systeme bzw. logisch getrennte Datenstrukturen pro Kunde
– Separate Ordnerstrukturen je Kunde in den eingesetzten Tools
– Keine Verarbeitung von Daten eines Verantwortlichen für Zwecke anderer Verantwortlicher

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle:
– TLS-/SSL-Verschlüsselung bei Datenübertragungen über das Internet
– Einsatz von Diensten mit verschlüsselter Kommunikation (HTTPS-only)
– Übermittlung sensibler Daten nur über verschlüsselte Kanäle (z. B. verschlüsselte E-Mail oder Cloud-Freigaben mit Zugriffskontrolle)
– Keine Speicherung personenbezogener Daten auf privaten Geräten oder externen Speichermedien ohne Verschlüsselung

Eingabekontrolle:
– Protokollierung von Datenänderungen in den eingesetzten Systemen, soweit technisch verfügbar
– Aufbewahrung der Protokolle entsprechend der Erforderlichkeit
– Versionierung in den eingesetzten Cloud-Diensten

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

Verfügbarkeitskontrolle:
– Regelmäßige Backups durch die eingesetzten Cloud-Anbieter
– Geografisch redundante Speicherung in den eingesetzten Cloud-Systemen
– Virenschutz und aktuelle Sicherheitsupdates auf allen Endgeräten
– Firewalls auf allen geschäftlich genutzten Endgeräten
– Unterbrechungsfreie Stromversorgung durch die Cloud-Infrastrukturen der eingesetzten Anbieter

Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO):
– Wiederherstellungsmöglichkeit aus Backups der eingesetzten Cloud-Dienste
– Dokumentation der wichtigsten Wiederherstellungsverfahren

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

– Regelmäßige Überprüfung der vergebenen Zugriffsrechte (mindestens halbjährlich)
– Regelmäßige Überprüfung der eingesetzten Subprozessoren und ihrer Datenschutz-Konformität
– Schulung der Mitarbeiter und Subunternehmer in datenschutzrechtlichen Belangen
– Datenschutz-Management durch den Geschäftsführer (Patrick Kurz)
– Dokumentation von Datenschutzvorfällen und Ableitung von Verbesserungsmaßnahmen
– Aktualisierung der TOMs bei wesentlichen technischen oder organisatorischen Änderungen

5. Datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO)

– Minimierungsprinzip: Verarbeitung nur der für die jeweilige Leistung tatsächlich erforderlichen Daten
– Datenschutzfreundliche Voreinstellungen in den eingesetzten Tools, soweit konfigurierbar
– Pseudonymisierung und Anonymisierung, wo dies technisch möglich und sinnvoll ist
– Regelmäßige Löschung von nicht mehr benötigten Daten

6. Auftragskontrolle (Verarbeitung im Auftrag)

– Sorgfältige Auswahl der eingesetzten Subprozessoren nach datenschutzrechtlichen Kriterien
– Vertragliche Verpflichtung aller Subprozessoren auf die Einhaltung der DSGVO-Anforderungen, insbesondere durch Abschluss entsprechender AVVs
– Regelmäßige Überprüfung der Datenschutz-Konformität der Subprozessoren (z. B. Einsicht in deren Zertifizierungen und Sicherheitsdokumentationen)
– Dokumentation aller Subprozessoren in der unter coreforge.de/subprozessoren geführten Liste

Stand der TOMs: 12.05.2026 · Letzte Überprüfung: 12.05.2026