Zum Inhalt springen
ENDemo buchen

Rechtliches

Auftragsverarbeitung

Vollständige Vereinbarung gemäß Art. 28 DSGVO mit Verarbeitungsbeschreibung, TOM und Unterauftragsverarbeitern.

Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO

zwischen

dem in der elektronischen Bestellbestätigung, im Angebot oder im Auftragsformular bezeichneten Kunden
– nachfolgend „Verantwortlicher“ –

und

vss software GmbH
Kleiner Burstah 12
20457 Hamburg
Deutschland
– nachfolgend „Auftragsverarbeiterin“ –

gemeinsam die „Parteien“.

Präambel und Einbeziehung

  1. Diese Vereinbarung („AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien, soweit die Auftragsverarbeiterin im Rahmen eines Vertrags über lumen.account, lumen.hr, lumen.pmo, lumen.crm, lumen.tm, lumen.privacy oder lumen.mask personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet („Hauptvertrag“).
  2. Der AVV wird Bestandteil des Hauptvertrags, wenn das von den Parteien angenommene Angebot oder Auftragsformular auf ihn verweist, der Verantwortliche ihn im Rahmen eines dokumentierten elektronischen Vertragsschlusses annimmt oder die Parteien seine Geltung anderweitig in Textform vereinbaren. Die bloße Veröffentlichung dieser Fassung begründet noch keinen Vertrag.
  3. Handelt der Kunde seinerseits als Auftragsverarbeiter für einen Dritten, gelten die für den Verantwortlichen bestimmten Regelungen sinngemäß; die Auftragsverarbeiterin wird dann als weitere Auftragsverarbeiterin eingesetzt.
  4. Bei Widersprüchen hat dieser AVV für Fragen der Auftragsverarbeitung Vorrang vor den Allgemeinen Geschäftsbedingungen. Individuelle datenschutzrechtliche Vereinbarungen und zwingendes Recht bleiben unberührt.

1. Gegenstand, Umfang und Dauer

  1. Gegenstand der Verarbeitung ist die Bereitstellung, der Betrieb, die Wartung, Absicherung und Unterstützung der im Hauptvertrag gebuchten Vertragsprodukte einschließlich Authentisierung, Mandanten- und Berechtigungsverwaltung, Hosting, Datensicherung, Fehleranalyse und vertragsgemäßem Support.
  2. Art, Zweck und Umfang der Verarbeitung, Datenarten und Kategorien betroffener Personen ergeben sich aus Anlage 1 und der vom Verantwortlichen gewählten Konfiguration und Nutzung. Die Auftragsverarbeiterin verarbeitet die Daten fortlaufend oder anlassbezogen, soweit dies zur Leistungserbringung erforderlich ist.
  3. Der AVV gilt ab Beginn der beauftragten Verarbeitung für die Dauer des Hauptvertrags. Pflichten, die ihrer Natur nach über das Vertragsende hinaus gelten, insbesondere Vertraulichkeit, Nachweis, Rückgabe und Löschung, bleiben bis zu ihrer Erfüllung bestehen.
  4. Die Rollen bei Account- und Sicherheitsdaten richten sich nach dem Zweck:
    • Mandantenbezogene Nutzer-, Organisations-, Rollen-, Berechtigungs- und Authentisierungsdaten verarbeitet die Auftragsverarbeiterin nach Weisung, soweit sie der Einrichtung, Nutzung und Absicherung des Kundenmandanten dienen; sie sind Gegenstand dieses AVV.
    • Vertrags-, Rechnungs- und Geschäftskontaktdaten sowie plattformweite Sicherheits-, Missbrauchs- und Rechtsnachweise verarbeitet die Auftragsverarbeiterin in eigener Verantwortlichkeit, soweit sie Zwecke und Mittel hierfür selbst bestimmt; diese Verarbeitung ist nicht Gegenstand dieses AVV.
    • Soweit ein Datensatz beiden Zwecken dient, wird die jeweilige Verarbeitung getrennt nach Zweck und Rechtsgrundlage beurteilt.

2. Weisungen

  1. Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit sie nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet ist. In diesem Fall teilt sie dem Verantwortlichen die rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.
  2. Der Hauptvertrag, dieser AVV, die vereinbarte Produktkonfiguration und die vertragsgemäße Nutzung bilden die anfänglichen Weisungen. Weitere Weisungen können die benannten Ansprechpartner in Textform, insbesondere per E-Mail oder Supportsystem, erteilen.
  3. Weisungen müssen eindeutig, rechtmäßig und vom Hauptvertrag umfasst sein. Verursacht eine zusätzliche Weisung einen nicht nur unerheblichen Aufwand, informiert die Auftragsverarbeiterin den Verantwortlichen vorab; eine Vergütung bedarf einer gesonderten Vereinbarung. Zwingende Unterstützungs- und Datenschutzpflichten bleiben unberührt.
  4. Hält die Auftragsverarbeiterin eine Weisung für datenschutzrechtswidrig, informiert sie den Verantwortlichen unverzüglich. Sie darf die Ausführung aussetzen, bis die Weisung bestätigt, geändert oder zurückgenommen ist, soweit nicht eine unmittelbare Ausführung gesetzlich erforderlich ist.
  5. Übermittlungen in ein Drittland oder an eine internationale Organisation erfolgen nur auf dokumentierte Weisung, auf Grundlage dieses AVV einschließlich Anlage 3 oder aufgrund einer gesetzlichen Verpflichtung und nur unter Einhaltung der Art. 44 ff. DSGVO.

3. Vertraulichkeit und Personal

  1. Die Auftragsverarbeiterin setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und die erforderlichen Datenschutz- und Sicherheitsunterweisungen erhalten.
  2. Zugriffe auf personenbezogene Daten werden auf Personen beschränkt, die sie für Betrieb, Sicherheit oder vertragsgemäßen Support benötigen. Die Auftragsverarbeiterin stellt sicher, dass die Verpflichtungen auch nach Ende der jeweiligen Tätigkeit fortgelten.
  3. Der Verantwortliche benennt seinerseits nur berechtigte Weisungs- und Administrationspersonen und schützt deren Zugänge.

4. Sicherheit der Verarbeitung

  1. Die Auftragsverarbeiterin trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. Die Maßnahmen berücksichtigen Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere der Risiken.
  2. Die Auftragsverarbeiterin darf die Maßnahmen an technische Entwicklungen und Risiken anpassen, sofern das vereinbarte Schutzniveau nicht abgesenkt wird. Wesentliche Änderungen dokumentiert sie und stellt die aktuelle Fassung auf Anfrage zur Verfügung.
  3. Der Verantwortliche prüft, ob die Maßnahmen für seine konkrete Verarbeitung, insbesondere bei besonderen Kategorien personenbezogener Daten, Berufsgeheimnissen oder umfangreicher Überwachung, ausreichen. Er konfiguriert Rollen, Aufbewahrung und verfügbare Sicherheitsfunktionen risikogerecht.

5. Unterstützung des Verantwortlichen

  1. Die Auftragsverarbeiterin unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihr verfügbaren Informationen angemessen bei:
    • der Erfüllung von Betroffenenrechten nach Kapitel III DSGVO,
    • der Sicherheit der Verarbeitung nach Art. 32 DSGVO,
    • Meldungen und Benachrichtigungen nach Art. 33 und 34 DSGVO,
    • Datenschutz-Folgenabschätzungen und vorherigen Konsultationen nach Art. 35 und 36 DSGVO,
    • der Erfüllung sonstiger gesetzlicher Nachweis- und Informationspflichten, soweit die beauftragte Verarbeitung betroffen ist.
  2. Wendet sich eine betroffene Person unmittelbar an die Auftragsverarbeiterin, leitet diese das Ersuchen unverzüglich an den Verantwortlichen weiter und antwortet nicht in der Sache, sofern sie hierzu nicht angewiesen oder gesetzlich verpflichtet ist.
  3. Soweit der Verantwortliche die erforderliche Handlung über Funktionen der Vertragsprodukte selbst ausführen kann, nutzt er vorrangig diese Funktionen. Weitergehender, außergewöhnlicher Aufwand kann nach vorheriger Vereinbarung vergütet werden; gesetzlich zwingende Unterstützung bleibt unberührt.

6. Verletzungen des Schutzes personenbezogener Daten

  1. Die Auftragsverarbeiterin informiert den Verantwortlichen unverzüglich, nachdem ihr eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die von ihr im Auftrag verarbeitete personenbezogene Daten betrifft. Dies gilt unabhängig davon, wer den Vorfall verursacht hat.
  2. Die Mitteilung enthält, soweit zu diesem Zeitpunkt bekannt:
    • Art und Umstände des Vorfalls,
    • betroffene Systeme, Datenarten und Personenkategorien,
    • soweit möglich ungefähre Anzahl betroffener Personen und Datensätze,
    • wahrscheinliche Folgen,
    • ergriffene oder vorgeschlagene Abhilfe- und Minderungsmaßnahmen,
    • einen Ansprechpartner für Rückfragen.
  3. Noch nicht verfügbare Informationen werden ohne unangemessene Verzögerung nachgereicht. Die Auftragsverarbeiterin dokumentiert den Vorfall, sichert erforderliche Beweise, wirkt an Untersuchung und Abhilfe mit und trifft angemessene Maßnahmen, um weitere Schäden zu begrenzen.
  4. Meldungen an Behörden oder betroffene Personen für den Verantwortlichen nimmt die Auftragsverarbeiterin nur auf Weisung vor, soweit sie nicht selbst gesetzlich dazu verpflichtet ist.

7. Unterauftragsverarbeiter

  1. Der Verantwortliche erteilt der Auftragsverarbeiterin die allgemeine Genehmigung, die in Anlage 3 bezeichneten Unterauftragsverarbeiter einzusetzen. Nur die für die gebuchten oder aktivierten Funktionen erforderlichen bedingten Dienste werden eingesetzt.
  2. Die Auftragsverarbeiterin legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die nach diesem AVV für die jeweilige Unterverarbeitung anwendbar sind, insbesondere zu Weisungsbindung, Vertraulichkeit, Sicherheit, Unterstützung, Vorfallmeldung, Löschung, Nachweisen und Kontrollen. Sie bleibt dem Verantwortlichen gegenüber für die Erfüllung der Pflichten des Unterauftragsverarbeiters verantwortlich.
  3. Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert die Auftragsverarbeiterin mindestens 30 Kalendertage vor dessen produktivem Einsatz in Textform. Die Information bezeichnet Dienst, Rechtsträger, Verarbeitungsort, Datenkategorien und gegebenenfalls die Drittlandgarantie.
  4. Der Verantwortliche kann innerhalb von 14 Kalendertagen nach Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen. Die Parteien suchen nach einer zumutbaren Lösung, etwa einer alternativen Funktion oder Konfiguration. Ist eine Lösung nicht möglich, kann jede Partei den betroffenen Dienst aus wichtigem Grund kündigen; andere technisch trennbare Vertragsprodukte bleiben unberührt.
  5. Reine Nebenleistungen ohne Zugriffsmöglichkeit auf Auftragsdaten, etwa Telekommunikation, Reinigung oder allgemeine Gebäudedienste, gelten nicht als Unterauftragsverarbeitung. Die Auftragsverarbeiterin stellt dennoch einen angemessenen Schutz sicher.

8. Drittlandübermittlungen

  1. Soweit ein genehmigter Unterauftragsverarbeiter Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet oder von dort zugreifen kann, stellt die Auftragsverarbeiterin vor Beginn der Verarbeitung eine Rechtsgrundlage nach Art. 44 ff. DSGVO sicher.
  2. Eine Übermittlung kann auf einem Angemessenheitsbeschluss nach Art. 45 DSGVO beruhen. Bei einem US-Empfänger gilt dies nur, soweit der konkrete Rechtsträger aktiv nach dem EU-US Data Privacy Framework zertifiziert ist und die betreffende Verarbeitung von der Zertifizierung erfasst wird.
  3. Soweit kein Angemessenheitsbeschluss greift, vereinbart die Auftragsverarbeiterin geeignete Garantien, insbesondere die Standardvertragsklauseln der Europäischen Kommission nach dem Beschluss (EU) 2021/914 im einschlägigen Modul, prüft die Umstände der Übermittlung und trifft erforderlichenfalls zusätzliche Maßnahmen.
  4. Der Verantwortliche kann Informationen zu der einschlägigen Transfergrundlage und – unter Wahrung von Geschäftsgeheimnissen – eine Kopie der maßgeblichen Garantien verlangen.

9. Nachweise und Kontrollen

  1. Die Auftragsverarbeiterin stellt dem Verantwortlichen alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung von Art. 28 DSGVO und dieses AVV nachzuweisen. Sie kann hierfür insbesondere aktuelle TOM-Dokumentationen, Prüfberichte, Zertifikate oder geeignete Selbstauskünfte vorlegen.
  2. Der Verantwortliche darf selbst oder durch einen unabhängigen, fachkundigen und zur Vertraulichkeit verpflichteten Prüfer in angemessenen Abständen, grundsätzlich einmal pro Kalenderjahr, eine Kontrolle einschließlich Inspektion durchführen. Zusätzliche Kontrollen sind bei einem konkreten Risiko, Vorfall, begründeten Verdacht oder einer Behördenanforderung zulässig. Dokumentarische Nachweise werden vorrangig genutzt, soweit sie für den Prüfzweck ausreichen.
  3. Planmäßige Kontrollen sind grundsätzlich mindestens vier Wochen vorher anzukündigen, auf den erforderlichen Umfang und übliche Geschäftszeiten zu beschränken und so durchzuführen, dass Sicherheit, Betrieb und Rechte anderer Kunden nicht unangemessen beeinträchtigt werden. Bei einem Vorfall, einer Behördenanordnung oder konkretem Verdacht kann die Frist angemessen verkürzt werden.
  4. Jede Partei trägt bei einer regulären gesetzlichen Kontrolle ihre eigenen Kosten. Ein außergewöhnlicher, über das erforderliche Maß hinausgehender Zusatzaufwand wird nur nach vorheriger Vereinbarung vergütet. Dies gilt nicht, wenn die Kontrolle einen erheblichen von der Auftragsverarbeiterin zu vertretenden Verstoß bestätigt oder eine Behörde die Kontrolle verlangt.
  5. Kontrollrechte der Datenschutzaufsichtsbehörden bleiben unberührt. Die Auftragsverarbeiterin gewährt ihnen im gesetzlichen Umfang Zugang und unterstützt deren Maßnahmen.

10. Rückgabe, Export und Löschung

  1. Nach Ende der beauftragten Verarbeitung gibt die Auftragsverarbeiterin die personenbezogenen Daten nach Wahl des Verantwortlichen zurück oder löscht sie, sofern keine gesetzliche Aufbewahrungspflicht besteht. Der Verantwortliche teilt seine Wahl rechtzeitig in Textform mit. Die Anbieterwechsel- und Abrufrechte aus den AGB und dem Data Act bleiben unberührt.
  2. Der Standardexport umfasst die in den AGB und Anlage 1 beschriebenen exportierbaren Daten in einem strukturierten, gängigen und maschinenlesbaren Format sowie hochgeladene Dateien grundsätzlich im vorhandenen Originalformat. Produktspezifische Formate und technische Beschränkungen ergeben sich aus der bei Vertragsschluss verfügbaren Exportdokumentation.
  3. Nach Ende der Übergangszeit bleiben Daten mindestens 30 Kalendertage zum Abruf verfügbar, sofern der Verantwortliche keine frühere Löschung anweist. Danach löscht die Auftragsverarbeiterin sämtliche Auftragsdaten einschließlich vorhandener Kopien vollständig, soweit keine gesetzliche Aufbewahrungspflicht besteht. Der produktbezogene Lösch- und Sicherungsprozess muss so konfiguriert sein, dass die gewählte Löschung auch Sicherungskopien erfasst.
  4. Für lumen.mask und andere dokumentenverarbeitende Vertragsprodukte richten sich Aufbewahrung und Löschung von Originalen, Verarbeitungskopien, Ergebnissen, Hashes und Auditnachweisen nach der vereinbarten Produktkonfiguration, der produktspezifischen TOM-Ergänzung und dokumentierten Weisungen des Verantwortlichen. Eine automatische Standardlöschung wird nur geschuldet, wenn sie im Auftrag oder in der einbezogenen Produktbeschreibung ausdrücklich bezeichnet ist.
  5. Gesetzlich aufzubewahrende Daten werden gesperrt, nur noch für den gesetzlichen Zweck verarbeitet und nach Ablauf der Frist gelöscht.
  6. Die Auftragsverarbeiterin bestätigt die Löschung auf Anfrage in Textform. Eine Wiederherstellung aus einer Sicherungskopie nach Löschbeginn ist ausgeschlossen, soweit sie gelöschte Auftragsdaten erneut produktiv verfügbar machen würde; technisch zwingende Notfallwiederherstellungen müssen die bereits vollzogene Löschung unverzüglich erneut anwenden.

11. Pflichten des Verantwortlichen

Der Verantwortliche:

  • gewährleistet die Rechtmäßigkeit der Verarbeitung und der Weisungen,
  • informiert betroffene Personen und erfüllt deren Rechte,
  • legt Zwecke, Rollen, Berechtigungen und Aufbewahrungsfristen fest,
  • prüft vor Verarbeitung besonderer Kategorien personenbezogener Daten die Erforderlichkeit zusätzlicher Maßnahmen und gegebenenfalls einer Datenschutz-Folgenabschätzung,
  • meldet Fehler oder Sicherheitsereignisse unverzüglich,
  • benennt aktuelle Weisungs-, Sicherheits- und Datenschutzkontakte.

12. Haftung, Laufzeit und Schlussbestimmungen

  1. Haftung und Freistellung richten sich nach Art. 82 DSGVO, den sonstigen gesetzlichen Vorschriften und den wirksam vereinbarten Haftungsregelungen des Hauptvertrags. Rechte betroffener Personen werden nicht beschränkt.
  2. Der AVV endet mit vollständiger Rückgabe oder Löschung der Auftragsdaten. Der Verantwortliche darf ihn aus wichtigem Grund kündigen, wenn die Auftragsverarbeiterin trotz angemessener Frist einen erheblichen Datenschutzverstoß nicht abstellt.
  3. Änderungen dieses AVV bedürfen mindestens der Textform. Eine aktualisierte online veröffentlichte Fassung gilt für einen bestehenden Vertrag nur aufgrund wirksamer Vereinbarung; die Aktualisierung der Anlage 3 richtet sich nach Abschnitt 7.
  4. Es gilt deutsches Recht. Die Gerichtsstandsregelung des Hauptvertrags gilt entsprechend, soweit gesetzlich zulässig.

Anlage 1 – Beschreibung der Verarbeitung

A. Allgemeiner Rahmen

Gegenstand und Zweck: Bereitstellung und Betrieb der gebuchten Lumen-SaaS-Dienste, Identitäts- und Berechtigungsverwaltung, Hosting, Speicherung, strukturierte Auswertung nach Kundenvorgabe, Support, Fehlerbehebung, Sicherung, Export und Löschung.

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln auf Weisung, Einschränken, Exportieren und Löschen.

Dauer: Laufzeit des Hauptvertrags zuzüglich vereinbarter Export-, Abruf-, Sicherungs- und Löschfristen.

Betroffene Basiskategorien: Nutzer und Administratoren des Verantwortlichen sowie – abhängig vom gebuchten Produkt und den Eingaben des Verantwortlichen – Beschäftigte, externe Projektressourcen, Kunden, Interessenten, geschäftliche Ansprechpartner, Projektbeteiligte, Endkunden, Vertragspartner, Betroffenenanfragende und sonstige Personen, deren Daten in Dokumenten oder Freitexten enthalten sind.

Basisdaten in lumen.account: Name, geschäftliche Kontaktdaten, Organisations- und Teamzuordnung, Rollen und Berechtigungen sowie mandantenbezogene Anmelde- und Sicherheitsdaten einschließlich Passwort-Hash, MFA- und Tokeninformationen, IP- und Sicherheitsprotokolle. Eigene Vertrags- und Rechnungskontakte der Auftragsverarbeiterin sind nach Abschnitt 1 Absatz 4 nicht Gegenstand dieses AVV.

B. Produktspezifische Verarbeitung

  • lumen.hr: Personalstamm- und Organisationsdaten, Arbeitszeiten, Abwesenheiten, Urlaub, Entgelt- und DATEV-Vorbereitungsdaten, Dokumente und kundenseitig definierte Freitextfelder; je nach Nutzung Gesundheitsdaten wie Arbeitsunfähigkeits- oder Abwesenheitsangaben. Typischerweise betroffen sind Beschäftigte und Führungskräfte.
  • lumen.pmo: Projekt-, Aufgaben-, Meilenstein-, Ressourcen-, Rollen-/RACI-, Zeit-, Budget-, Risiko-, KPI-, Kommunikations- und Dokumentdaten. Typischerweise betroffen sind Beschäftigte, externe Ressourcen sowie Ansprechpartner bei Kunden und Partnern.
  • lumen.crm: Kontakt-, Unternehmens-, Lead-, Deal-, Pipeline-, Aktivitäts-, Kommunikations-, Termin-, Aufgaben-, Dokument- und Freitextdaten. Typischerweise betroffen sind Interessenten, Kunden, geschäftliche Ansprechpartner und Vertriebsmitarbeitende.
  • lumen.tm: Vertrags-, Leistungs-, Zeit-, Ansprechpartner-, Rechnungs-, Archiv-, Kommunikations- und Dokumentdaten. Typischerweise betroffen sind Beschäftigte, Kunden, Endkunden, Vertragspartner und Ansprechpartner.
  • lumen.privacy: Verzeichnisse von Verarbeitungstätigkeiten, AVV, TOM, DSFA, Betroffenenanfragen, Einwilligungs-/Cookie-, Vorfall-, Nachweis-, Schulungs- und Dokumentdaten; Freitexte können besondere Kategorien enthalten. Typischerweise betroffen sind Beschäftigte, Geschäftskontakte, Betroffenenanfragende sowie von Vorfällen oder Verarbeitungen betroffene Personen.
  • lumen.mask: Inhalte hochgeladener Dokumente, darin erkannte personenbezogene Daten einschließlich möglicher besonderer Kategorien, Schwärzungen, Freigaben, Hashes und Auditdaten. Betroffen sind beliebige vom Dokumentinhalt erfasste Personen.

Verarbeitung besonderer Kategorien: Insbesondere in lumen.hr, lumen.privacy und lumen.mask können abhängig von der Nutzung Daten nach Art. 9 DSGVO verarbeitet werden. Der Verantwortliche entscheidet über deren Eingabe und stellt Rechtsgrundlage und zusätzliche Schutzmaßnahmen sicher. Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO sind nur Gegenstand, wenn dies im Hauptvertrag und in einer ergänzten Verarbeitungsbeschreibung ausdrücklich vereinbart wurde.

Verarbeitungsorte: Die Kernsysteme und Speicher werden nach dem derzeitigen Betriebskonzept in deutschen Hetzner-Rechenzentren in Falkenstein und Nürnberg betrieben. Der bedingte E-Mail-Dienst Postmark kann nach Anlage 3 Verarbeitungen in den USA auslösen.

Anlage 2 – Technische und organisatorische Maßnahmen

Die nachfolgenden Maßnahmen bilden den vertraglich geschuldeten produktübergreifenden Mindeststandard. Ihre tatsächliche Umsetzung ist für jedes gebuchte Produkt vor Beginn der Auftragsverarbeitung zu dokumentieren. Produktspezifische Maßnahmen und Parameter, insbesondere zu Sicherungen, Wiederherstellung, Protokollierung, Löschung und administrativen Zugriffen, werden in einer TOM-Ergänzung zum Auftrag konkretisiert. Eine allgemeine Verschlüsselung ruhender Produktdaten oder Sicherungen wird durch diesen AVV nicht zugesagt; ihr Einsatz und gegebenenfalls kompensierende Maßnahmen sind anhand des konkreten Verarbeitungsrisikos nach Art. 32 DSGVO zu beurteilen und in der TOM-Ergänzung zu dokumentieren. Soweit die Implementierung des Mindeststandards nicht nachgewiesen oder eine Ergänzung für das Risiko erforderlich ist, darf die produktive Verarbeitung noch nicht beginnen.

1. Organisation und Vertraulichkeit

  • dokumentierte Zuständigkeiten für Betrieb, Support, Sicherheit und Datenschutz,
  • Vertraulichkeitsverpflichtung und angemessene Unterweisung zugriffsberechtigter Personen,
  • Zugriffe nur nach Aufgabenbezug und Erforderlichkeit,
  • geregelte Vergabe, Änderung und Entziehung von Berechtigungen,
  • Auswahl und vertragliche Kontrolle von Unterauftragsverarbeitern.

2. Zutritts- und Infrastrukturschutz

  • Betrieb der Kernsysteme in professionellen Rechenzentren der Hetzner Online GmbH in Deutschland,
  • physischer Zutritt zu Rechenzentrumsbereichen nur durch den Infrastrukturbetreiber und von ihm autorisierte Personen,
  • Datenbanken und interne Dienste werden nicht allgemein zugänglich bereitgestellt; administrative Zugänge werden auf erforderliche Schnittstellen beschränkt,
  • Trennung von öffentlich erreichbaren Diensten und internen Datenbank- beziehungsweise Verwaltungsdiensten.

3. Identitäts- und Zugriffskontrolle

  • zentrale Identitäts- und Berechtigungsverwaltung über lumen.account,
  • rollenbasierte Berechtigungen, insbesondere Owner-, Admin-, Member- und gesonderte Plattform-Administrationsrollen,
  • logische Mandantentrennung anhand der Organisation,
  • Passwörter werden nicht im Klartext, sondern mit einem geeigneten Hashverfahren gespeichert,
  • optionale TOTP-Mehrfaktor-Authentisierung mit Backup-Codes,
  • Schutzmaßnahmen gegen Brute-Force-Angriffe und Account-Enumeration,
  • Support- und Plattformzugriffe werden auf autorisierte Personen und den erforderlichen Umfang beschränkt.

4. Übertragungs- und Kommunikationssicherheit

  • öffentlich erreichbare Web- und API-Verbindungen werden transportverschlüsselt über TLS bereitgestellt,
  • Berechtigungsprüfung vor Zugriff auf mandantenbezogene Daten,
  • Datenübermittlungen an Unterauftragsverarbeiter erfolgen über abgesicherte Schnittstellen und nur für den beauftragten Zweck,
  • bei Exporten und Anbieterwechseln werden Authentizität, Berechtigung und sichere Übertragungswege geprüft.

5. Eingabe-, Änderungs- und Nachvollziehbarkeitskontrolle

  • Protokollierung mandantenbezogener sicherheitsrelevanter Anmeldeereignisse, soweit diese im jeweiligen Vertragsprodukt anfallen,
  • Umfang, Schutz und Aufbewahrung produktbezogener Audit- und Administrationsprotokolle werden in der produktspezifischen TOM-Ergänzung bezeichnet,
  • Support- und Plattformzugriffe sind auf autorisierte Personen und den für Betrieb, Sicherheit oder beauftragten Support erforderlichen Umfang beschränkt.

6. Verfügbarkeit und Wiederherstellung

  • Produktbezogene Backup-, Wiederherstellungs-, RPO-/RTO- und Löschparameter werden in der TOM-Ergänzung zum Auftrag festgelegt.
  • Soweit Sicherungen vereinbart sind, ist der Zugriff auf Betriebs- und Wiederherstellungszwecke und autorisierte Rollen beschränkt.
  • Die vollständige Löschung nach Abschnitt 10 muss in Sicherungs- und Wiederherstellungsverfahren wirksam umgesetzt werden.

7. Mandantentrennung, Datenminimierung und Löschung

  • logische Trennung der Kundenorganisationen und Berechtigungsprüfung bei mandantenbezogenen Vorgängen,
  • konfigurierbare Rollen und produktbezogene Aufbewahrungs- beziehungsweise Löschfunktionen nach Maßgabe der Produktbeschreibung und TOM-Ergänzung,
  • bei dokumenten- oder KI-gestützten Funktionen werden eingesetzte externe Dienste, Speicherorte, Löschparameter und eine mögliche Modellnutzung vor ihrem Einsatz produktspezifisch dokumentiert,
  • Kundendaten werden nicht zum Training allgemein nutzbarer KI-Modelle verwendet.

8. Ergänzend zu vereinbarende produktspezifische Maßnahmen

  • Status und gegebenenfalls Einsatz der Verschlüsselung ruhender Daten und Sicherungen einschließlich Schlüsselverwaltung sowie kompensierender Maßnahmen,
  • Backup-Frequenz, Aufbewahrung, Isolation, Wiederherstellungstest, RPO und RTO,
  • Protokollarten, Schutz und Aufbewahrungsfristen,
  • Verfahren für Schwachstellen-, Patch-, Änderungs- und Vorfallmanagement,
  • konkrete Supportzugriffe und gegebenenfalls externe Supportrollen,
  • regelmäßige Wirksamkeitsprüfung und verfügbare Nachweise.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

  • Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland: Rechenzentrum, Server, Datenbanken, Objektspeicher und Sicherungsinfrastruktur; sämtliche in den gebuchten Diensten gespeicherten Auftragsdaten. Verarbeitung in Deutschland, insbesondere Falkenstein und Nürnberg; kein Drittlandtransfer für die bezeichnete Kernleistung. Einsatz im Kernbetrieb.
  • AC PM LLC (Postmark), USA: Versand transaktionaler Anwendungs-E-Mails; E-Mail-Adressen, Versandmetadaten und vom jeweiligen Nachrichtentyp abhängige Inhalte. Verarbeitung in den USA. Die Drittlandübermittlung erfolgt auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework, soweit die aktive Zertifizierung von AC PM LLC die konkrete Verarbeitung erfasst. Die Genehmigung als Unterauftragsverarbeiter steht zusätzlich unter der Voraussetzung, dass AC PM für diese Verarbeitung entsprechend Art. 28 Abs. 4 DSGVO vertraglich gebunden ist; andernfalls dürfen über Postmark keine Auftragsdaten versendet werden.

Änderungen werden nach Abschnitt 7 dieses AVV aktiv angekündigt. Nicht als Unterauftragsverarbeiter dieser Produktverarbeitung aufgeführt sind Dienste, die ausschließlich die eigene Buchhaltung, Zahlungsabwicklung oder allgemeine Unternehmensverwaltung der Auftragsverarbeiterin betreffen und keine Auftragsdaten erhalten.

Anlage 4 – Ansprechpartner und Weisungsweg

Auftragsverarbeiterin:
Datenschutz- und allgemeiner Kontakt: kontakt@vss-software.de
Telefon: +49 40 239 366 870

Verantwortlicher:
Firma, Anschrift, Weisungsberechtigte, Datenschutz- und Sicherheitskontakte ergeben sich aus dem angenommenen Angebot oder Auftragsformular und können in Textform aktualisiert werden.

Version 1.0 – Stand: 24. Juli 2026