Auftragsverarbeitung gemäß Art. 28 DSGVO

Zwischen dem Kunden der Verbandspartner GmbH, der die Plattform „Verbandspartner Service“ oder „Mitelio Steuern“ nutzt (Auftraggeber), und der Verbandspartner GmbH, Jungfer-Willemin-Stiege 1, 48143 Münster, HRB 21233 (Auftragnehmer) wird mit Abschluss des Vertrags über die Nutzung der Plattform (Hauptvertrag) nachfolgender Vertrag über die Auftragsverarbeitung geschlossen.

1. Auftragsinhalt, Kategorien der Daten, betroffene Personen, Art, Umfang und Ziel der Verarbeitung (Art. 28 Abs. 3, 30 Abs. 2 DSGVO)

Gegenstand der Datenverarbeitung: Der Gegenstand der Datenverarbeitung besteht in der Bereitstellung und dem Betrieb einer Software as a Service (SaaS)-Lösung, bekannt als „Verbandspartner Service“ und für Steuerkanzleien als „Mitelio Steuern“. Diese Plattform dient dazu, Mitgliedern eines Verbandes wichtige Informationen im Rahmen der Verbandsarbeit bzw. Mandanten einer Steuerkanzlei Informationen der Kanzlei zugänglich zu machen. Die Plattform unterstützt verschiedene Kommunikations- und Informationskanäle, darunter E-Mail, ein Web-Portal, eine Progressive-Web-App, ein Wiki und einen Chatdienst. Soweit in diesem Vertrag von Verband und Mitgliedern die Rede ist, gilt dies für Steuerkanzleien und deren Mandanten entsprechend.

Dauer der Datenverarbeitung: Dieser Vertrag gilt für die Laufzeit des Hauptvertrags und endet mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten des Auftragnehmers aus diesem Vertrag bestehen fort, solange er Daten des Auftraggebers verarbeitet, insbesondere bis zum Abschluss der Löschung nach Abschnitt 7.

Zweck der Datenverarbeitung: Der Zweck der Datenverarbeitung liegt in der effizienten und zielgerichteten Informationsverteilung und -kommunikation innerhalb des Verbandes. Die SaaS-Lösung ermöglicht es, die Mitglieder über relevante Vorgänge, Ereignisse und Inhalte im Zusammenhang mit der Verbandsarbeit zu informieren und den Austausch unter den Mitgliedern zu fördern. Dies schließt folgende Aktivitäten ein:

• Kommunikation und Information: Mitglieder erhalten Zugang zu aktuellen Nachrichten, Updates und Dokumentationen, die für ihre Aktivitäten und Verpflichtungen innerhalb des Verbandes relevant sind.
• Kollaboration: Bereitstellung von Tools und Plattformen (wie Wiki und Chat), die eine effektive Zusammenarbeit und Kommunikation zwischen den Mitgliedern unterstützen.
• Personalisierung und Mitgliederverwaltung: Verwaltung von Mitgliederdaten und personalisierten Einstellungen, um eine zugeschnittene Nutzungserfahrung zu ermöglichen und die Verwaltung von Mitgliederinformationen zu optimieren.
• Sicherheit und Integrität der Daten: Gewährleistung der Sicherheit, Integrität und Verfügbarkeit der verarbeiteten Daten, einschließlich Maßnahmen zum Datenschutz und zur Datensicherheit.

Der Auftragnehmer wird im Rahmen dieses Vertrages ausschließlich im Auftrag und nach den Weisungen des Auftraggebers tätig.

Art der Datenverarbeitung im Verbandspartner Service

Erfassung und Speicherung von Daten: Die personenbezogenen Daten der Verbandsmitglieder werden bei der Registrierung, während der Nutzung der Plattform und bei der Teilnahme an verbandsspezifischen Aktivitäten erfasst. Diese Daten umfassen Kontaktinformationen, Mitgliedschaftsdetails, professionelle Informationen und Interaktionen innerhalb der Plattform. Die Daten werden auf den Systemen des Auftragnehmers und der in Anhang 1 genannten Unterauftragnehmer gespeichert. Für die Richtigkeit und Aktualität der Daten ist der Auftraggeber verantwortlich.

Verarbeitung und Nutzung: Die erfassten Daten werden, soweit der Auftraggeber die jeweilige Funktion nutzt, insbesondere genutzt, um:

• Mitgliederkonten zu verwalten und Zugang zu verschiedenen Funktionalitäten der Plattform zu gewähren.
• Kommunikationsdienste wie E-Mail, Chat und Foren innerhalb des Web-Portals und der Web-App bereitzustellen.
• Personalisierte Inhalte und Benachrichtigungen basierend auf den Präferenzen und Interessen der Mitglieder zu liefern.
• Veranstaltungen zu organisieren und die Teilnahme zu verwalten.
• Sicherheitsprotokolle und Zugriffsberechtigungen zu implementieren, um die Integrität und Vertraulichkeit der Mitgliederdaten zu schützen.

Analyse und Berichterstattung: Auswertungen der Nutzung (z. B. Zugriffsstatistiken, Reichweite von Beiträgen, Rückmeldungen und Umfrageergebnisse) werden für den Auftraggeber erstellt und ihm zur Verfügung gestellt, um ihn bei seiner Planung und Entscheidungsfindung zu unterstützen. Der Auftraggeber weist den Auftragnehmer an, Nutzungsdaten zu anonymisieren, damit der Auftragnehmer die Plattform auf Grundlage anonymisierter, aggregierter Daten ohne Personenbezug verbessern und weiterentwickeln kann.

KI-gestützte Zusammenfassungen: Der Auftraggeber und seine berechtigten Mitarbeiter können beim Erstellen von Beiträgen und E-Mails eine Zusammenfassung des Textes durch ein KI-Sprachmodell erzeugen lassen. Die Funktion wird nur auf Anforderung des jeweiligen Erstellers ausgeführt. Dabei wird der Text des Entwurfs an ein KI-Sprachmodell von Google übermittelt, das der Auftragnehmer über den in Anhang 1 genannten Unterauftragnehmer Google Cloud nutzt. Der Auftragnehmer ist bemüht, nur die für die Zusammenfassung erforderlichen Inhalte zu übermitteln. Weitere Nutzer- oder Empfängerdaten sind dafür nicht vorgesehen. Inhalte des Entwurfs, also auch darin enthaltene personenbezogene Daten, werden jedoch übermittelt. Der Unterauftragnehmer verarbeitet die übermittelten Inhalte nach Maßgabe seiner Vertragsbedingungen. Danach verwendet er sie nicht zum Training seiner KI-Modelle, kann sie aber für einen begrenzten Zeitraum speichern, etwa zur Bearbeitung der Anfrage oder zur Erkennung von Missbrauch.

Die erzeugte Zusammenfassung ist ein Vorschlag, der fehlerhaft oder unvollständig sein kann. Der Ersteller prüft sie und entscheidet, ob und in welcher Form er sie übernimmt. Übernommene Zusammenfassungen werden wie der übrige Inhalt des Beitrags oder der E-Mail gespeichert und verteilt. Empfänger von Beiträgen und E-Mails haben keinen Zugriff auf die Funktion. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO ist mit der Funktion nicht verbunden. Der Auftraggeber sollte davon absehen, besondere Kategorien personenbezogener Daten oder vertrauliche Informationen, die er nicht übermitteln möchte, in Texte aufzunehmen, die er zusammenfassen lässt.

Datenweitergabe und Offenlegung: Daten werden nur gegenüber dem Auftraggeber, den von ihm berechtigten Nutzern und den in Anhang 1 genannten Unterauftragnehmern offengelegt, soweit dies für die Bereitstellung der Dienste erforderlich ist. Eine Weitergabe an sonstige Dritte erfolgt nur auf dokumentierte Weisung des Auftraggebers oder wenn der Auftragnehmer gesetzlich dazu verpflichtet ist (Abschnitt 2).

Prüfung der E-Mail-Zustellung: Ergänzend zum vorstehenden Absatz gilt: Um die Zustellbarkeit von E-Mails zu prüfen, fragt der Auftragnehmer die Mailserver-Einträge (MX-Einträge) der Empfängerdomains über einen öffentlichen DNS-Dienst ab. Derzeit ist dies der Dienst von Cloudflare, Inc., USA. Dabei wird grundsätzlich nur der Domainteil der E-Mail-Adresse (z. B. „beispiel.de“) übermittelt, nicht die vollständige E-Mail-Adresse oder weitere Daten. Die Anfragen stellt der Server des Auftragnehmers, IP-Adressen von Nutzern werden dabei nicht übermittelt. Soweit ein Domainname im Einzelfall Rückschlüsse auf eine Person zulässt, kann eine Verarbeitung dieser Angabe außerhalb des Europäischen Wirtschaftsraums nicht ausgeschlossen werden. Cloudflare, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert.

Versand über das Microsoft-365-Postfach des Auftraggebers: Soweit der Auftraggeber die Plattform mit seinem eigenen Microsoft-365-Konto verbindet, können E-Mails der Plattform über das Postfach des Auftraggebers versendet werden. Der Auftragnehmer übermittelt hierzu die Inhalte und Empfängerangaben der jeweiligen E-Mails über die von Microsoft bereitgestellte Schnittstelle (Microsoft Graph) an dieses Konto. Dies erfolgt nur, soweit der Auftraggeber die Verbindung eingerichtet hat, und im Umfang der dabei erteilten Berechtigungen. Microsoft ist insoweit nicht Unterauftragnehmer des Auftragnehmers. Die Verarbeitung durch Microsoft richtet sich nach den Vereinbarungen zwischen dem Auftraggeber und Microsoft.

Abfrage von Postleitzahlen: Zur Vervollständigung und Prüfung von Adressangaben fragt der Auftragnehmer Postleitzahlen bei einem öffentlichen Verzeichnisdienst ab. Derzeit ist dies die OpenPLZ API der STÜBER SYSTEMS GmbH, Deutschland. Dabei wird grundsätzlich nur die Postleitzahl übermittelt, nicht jedoch Namen, Straßen oder sonstige Angaben zu Personen. Soweit die Abfrage unmittelbar aus dem Browser des Nutzers erfolgt, erhält der Verzeichnisdienst technisch bedingt auch dessen IP-Adresse. Der Verzeichnisdienst ist insoweit nicht Unterauftragnehmer des Auftragnehmers.

Löschung und Rückgabe von Daten: Während der Vertragslaufzeit kann der Auftraggeber Daten einzelner Nutzer selbst über die Plattform löschen oder deren Löschung beim Auftragnehmer anweisen. Die Löschung und Rückgabe der Daten nach Vertragsende richtet sich nach Abschnitt 7.

Datenkategorien im Verbandspartner Service

Kontaktinformationen:

• Name
• Adresse
• Telefonnummern
• E-Mail-Adressen

Mitgliedschaftsdaten:

• Mitgliedsnummer
• Beitrittsdatum
• Status der Mitgliedschaft (aktiv/inaktiv)
• Mitgliedschaftstyp oder -kategorie

Kommunikationsdaten:

• Inhalt und Log-Dateien von E-Mails
• Chatprotokolle
• Beiträge und Kommentare im Web-Portal und in der Web-App
• Einträge und Bearbeitungen im Wiki

Nutzungsdaten der SaaS-Plattform:

• Login-Daten (Benutzername, Passwort)
• Zugriffszeiten und -daten
• Nutzerverhalten und Präferenzen (z. B. häufig besuchte Seiten, Einstellungen in der App)
• IP-Adressen und Geräteinformationen

Profildaten:

• Berufliche Informationen (Berufsbezeichnung, Arbeitgeber)
• Qualifikationen und Fähigkeiten
• Interessen und Spezialgebiete innerhalb des Verbands

Daten zu Veranstaltungen:

• Anmeldung zu Veranstaltungen
• Teilnahmedaten
• Feedback und Bewertungen zu Veranstaltungen

Sicherheitsdaten:

• Daten zu Sicherheitsmaßnahmen (z. B. Zugriffsberechtigungen, Protokolle von Sicherheitsüberprüfungen)

Zweck der Verarbeitung für jede Datenkategorie

• Kontaktinformationen und Mitgliedschaftsdaten werden verwendet, um die Mitglieder zu identifizieren, mit ihnen zu kommunizieren und die Mitgliedschaft zu verwalten.
• Kommunikationsdaten dienen der Förderung der Interaktion und Zusammenarbeit unter den Mitgliedern, der Erstellung KI-gestützter Zusammenfassungen, soweit der Auftraggeber diese beim Verfassen von Beiträgen und E-Mails anfordert, sowie der Archivierung von Kommunikationsvorgängen für rechtliche oder administrative Zwecke.
• Nutzungsdaten dienen der Bereitstellung, Absicherung und Personalisierung der Plattform sowie Auswertungen für den Auftraggeber. Zur Optimierung der Plattform werden sie ausschließlich in anonymisierter Form verwendet.
• Profildaten ermöglichen eine zielgerichtete Kommunikation und Angebote, die auf die beruflichen Interessen und Qualifikationen der Mitglieder abgestimmt sind.
• Daten zu Veranstaltungen werden benötigt, um die Planung und Durchführung von verbandsspezifischen Veranstaltungen zu unterstützen.
• Sicherheitsdaten gewährleisten die Integrität und Sicherheit der Plattform und schützen vor unberechtigtem Zugriff.

Datenkategorien nach Art. 9 Abs. 1 DS-GVO

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 Abs. 1 DSGVO) ist nicht vorgesehen. Der Auftraggeber stellt sicher, dass solche Daten nicht an den Auftragnehmer übermittelt werden. Dies gilt insbesondere beim Import von Mandanten- oder Mitgliederstammdaten, etwa für Angaben zur Religionszugehörigkeit (Kirchensteuermerkmal). Der Auftraggeber weist seine Nutzer darauf hin, solche Daten nicht in Chats, Beiträge oder Dokumente einzustellen.

Von der Datenverarbeitung betroffene Personengruppen

• Verbandsmitglieder: Die primäre Gruppe, deren personenbezogene Daten verarbeitet werden. Diese umfasst alle registrierten Mitglieder des Verbandes, die die Plattform und ihre verschiedenen Funktionen nutzen.
• Verbandsmitarbeiter: Mitarbeiter des Verbandes, die die Plattform für administrative Zwecke nutzen, Mitgliederdaten verwalten oder in sonstiger Weise mit den Mitgliederdaten interagieren.
• Veranstaltungsteilnehmer: Personen, die an durch den Verband organisierten Veranstaltungen teilnehmen. Diese können Mitglieder oder auch externe Teilnehmer sein, deren Daten für die Veranstaltungsorganisation und -durchführung erfasst und verarbeitet werden.
• Mandanten: Mandanten einer Steuerkanzlei und deren Ansprechpartner, deren Daten die Kanzlei in der Plattform verwaltet oder aus ihrer Kanzleisoftware (z. B. DATEV) importiert.
• Mitarbeiter von Mitgliedsbetrieben: Beschäftigte der Mitglieder bzw. Mandanten, die die Plattform nutzen oder Informationen über sie erhalten.
• Gäste: Externe Nutzer, die vom Auftraggeber zur Plattform eingeladen werden.
• Interessenten: Personen, die Informationen über den Verband anfragen oder sich für eine Mitgliedschaft interessieren.
• Kommunikationspartner: Dies schließt Personen ein, die über die verschiedenen Kommunikationskanäle der Plattform (wie E-Mail, Chat, Wiki) mit Mitgliedern oder Verbandsmitarbeitern interagieren.
• Lieferanten und Dienstleister: Personen, die im Auftrag des Verbandes Dienstleistungen erbringen oder Produkte liefern und hierfür in die Datenverarbeitung einbezogen sind.

2. Verantwortlichkeit und Anweisungsbefugnis

Der Auftraggeber trägt als Verantwortlicher gemäß Art. 4 Nr. 7 der DSGVO die Verantwortung für die Beachtung der Datenschutzbestimmungen. Dies schließt insbesondere die Auswahl des Auftragnehmers, die Weitergabe von Daten und die erteilten Anweisungen ein (Art. 28 Abs. 3 lit. a, 29 und 32 Abs. 4 DSGVO).

Der Auftragnehmer ist nur befugt, Daten gemäß dem Hauptvertrag und den Anweisungen des Auftraggebers zu verarbeiten. Dies umfasst auch die Korrektur, Löschung oder Einschränkung der Datenverarbeitung, sofern diese Maßnahmen notwendig sind. Ausnahmen bestehen nur, wenn gesetzliche Vorschriften der EU oder der Mitgliedstaaten, denen der Auftragnehmer unterliegt, dies erfordern. In solchen Fällen muss der Auftragnehmer den Auftraggeber über die rechtlichen Anforderungen informieren, bevor die Datenverarbeitung beginnt, es sei denn, das Gesetz verbietet eine solche Mitteilung aus Gründen des öffentlichen Interesses (Art. 28 Abs. 3 S. 2 lit. a DSGVO).

Eine Übermittlung von Daten in ein Drittland oder an eine internationale Organisation erfolgt ebenfalls nur auf dokumentierte Weisung des Auftraggebers und nur unter Einhaltung der Art. 44 ff. DSGVO. Der Einsatz der in Anhang 1 genannten Unterauftragnehmer einschließlich der dort beschriebenen Übermittlungen gilt als entsprechende Weisung.

Der Auftraggeber ist berechtigt, zusätzliche Anweisungen bezüglich der Datenverarbeitung und Sicherheitsmaßnahmen zu erteilen. Es obliegt ihm, diese Anweisungen zu dokumentieren. Mündlich erteilte Anweisungen sind unverzüglich in Textform zu bestätigen.

Glaubt der Auftragnehmer, dass eine Anweisung des Auftraggebers gegen das Datenschutzrecht verstößt, wird er den Auftraggeber unverzüglich darauf aufmerksam machen. In einem solchen Fall hat der Auftragnehmer das Recht, die Ausführung der Anweisung auszusetzen, bis der Auftraggeber die Anweisung bestätigt, und offensichtlich rechtswidrige Anweisungen abzulehnen.

Sollten zusätzliche Anweisungen des Auftraggebers über die vertraglichen Verpflichtungen des Auftragnehmers hinausgehen und nicht auf einem Verschulden des Auftragnehmers beruhen, muss der Auftraggeber den zusätzlichen Aufwand separat vergüten.

Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, werden als Antrag auf Leistungsänderung behandelt. Ist deren Umsetzung für den Auftragnehmer technisch nicht möglich oder wirtschaftlich unzumutbar, kann er sie ablehnen. Der Auftraggeber kann in diesem Fall den Hauptvertrag hinsichtlich der betroffenen Leistungen mit einer Frist von einem Monat zum Monatsende kündigen. Die Pflicht des Auftragnehmers, datenschutzrechtlich gebotene Weisungen zur Berichtigung, Löschung oder Einschränkung der Verarbeitung umzusetzen, bleibt unberührt.

Die Vertragsparteien haben das Recht, Personen zu benennen, die zum Erteilen und Empfangen von Anweisungen befugt sind (insbesondere, wenn dies nicht bereits aus dem Hauptvertrag hervorgeht). Sie sind verpflichtet, jegliche Änderungen dieser Personen unverzüglich zu kommunizieren.

3. Sicherheitskonzept und zugehörige Verpflichtungen

Der Auftragnehmer wird seine internen Abläufe im eigenen Verantwortungsbereich gemäß den rechtlichen Vorgaben ausrichten und dabei speziell technische und organisatorische Maßnahmen umsetzen (im Folgenden als „TOMs" bezeichnet), um die Daten des Auftraggebers angemessen zu schützen, insbesondere in Bezug auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Maßnahmen werden unter Berücksichtigung der aktuellen Technologie, der Kosten der Implementierung, sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung festgelegt. Auch die Wahrscheinlichkeit und das potenzielle Risiko für die Rechte und Freiheiten der betroffenen Personen werden berücksichtigt. Die fortwährende Einhaltung dieser Maßnahmen wird gewährleistet (Art. 28 Abs. 3 u. 32 - 39 i.V.m. Art 5 DSGVO). Zu den TOMs zählen unter anderem Zugangs-, Zutritts-, Zugriffs-, Weitergabe-, Eingabe-, Auftrags-, Verfügbarkeits-, Trennungs- und Betroffenenrechtkontrollen.

Die in diesem Auftragsverarbeitungsvertrag definierten TOMs sind im Anhang 2 „Sicherheitskonzept" dargelegt. Sie können im Laufe der Zeit entsprechend dem technischen Fortschritt weiterentwickelt oder durch gleichwertige Schutzmaßnahmen ersetzt werden, solange das definierte Sicherheitsniveau nicht unterschritten wird. Der Auftragnehmer dokumentiert wesentliche Änderungen und stellt dem Auftraggeber auf Anfrage die aktuelle Fassung zur Verfügung.

Der Auftragnehmer sorgt dafür, dass die zur Datenverarbeitung des Auftraggebers berechtigten Personen zur Vertraulichkeit und Verschwiegenheit verpflichtet sind (Art. 28 Abs. 3 S. 2 lit. b und 29, 32 Abs. 4 DSGVO) und in die Datenschutzbestimmungen der DSGVO eingewiesen wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Die Daten des Auftraggebers sind vom Auftragnehmer sorgfältig zu verwahren und vor dem Zugriff unbefugter Dritter zu schützen. Kopien werden nur erstellt, soweit dies für die Erfüllung der Haupt- und Nebenpflichten des Auftragnehmers erforderlich ist, insbesondere für Datensicherungen, Protokollierung und Fehleranalyse. Die datenschutzgerechte Löschung im Rahmen des regulären Betriebs, etwa von Sicherungskopien und Protokollen nach Ablauf ihrer Aufbewahrungsdauer, sowie auf Weisung des Auftraggebers bedarf keiner gesonderten Zustimmung.

Falls von der DSGVO oder weiteren nationalen Vorschriften gefordert, benennt der Auftragnehmer einen Datenschutzbeauftragten, der den gesetzlichen Anforderungen entspricht, und informiert den Auftraggeber entsprechend (Art. 37 bis 39 DSGVO).

Der Auftragnehmer ist derzeit nicht zur Benennung eines Datenschutzbeauftragten verpflichtet.

Ansprechpartner für Datenschutz des Auftragnehmers: Verbandspartner GmbH, Jungfer-Willemin-Stiege 1, 48143 Münster datenschutz@verbandspartner.com

4. Informations- und Mitwirkungspflichten

Die Rechte betroffener Personen sind gegenüber dem Auftraggeber geltend zu machen, wobei der Auftragnehmer den Auftraggeber unterstützt, gemäß Art. 28 Abs. 3 S. 2 lit. e DSGVO. Insbesondere informiert der Auftragnehmer den Auftraggeber über eingehende Anfragen von Betroffenen.

Der Auftraggeber ist verpflichtet, den Auftragnehmer sofort und vollständig zu informieren, falls er Fehler oder Unstimmigkeiten bei der Datenverarbeitung im Bezug auf die Einhaltung des Auftragsverarbeitungsvertrags oder relevanter Datenschutzvorschriften feststellt.

Stellt der Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten des Auftraggebers fest, informiert er den Auftraggeber unverzüglich, nach Möglichkeit innerhalb von 48 Stunden nach Kenntniserlangung. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; noch fehlende Informationen reicht der Auftragnehmer unverzüglich nach. Er ergreift sofort die notwendigen Schutzmaßnahmen und unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO.

Sollte die Datensicherheit des Auftraggebers durch Aktionen Dritter (z. B. Gläubiger, Behörden, Gerichte usw.) bedroht sein (durch Pfändung, Beschlagnahme, Insolvenzverfahren usw.), wird der Auftragnehmer diese Dritten unverzüglich darauf hinweisen, dass die Daten ausschließlich dem Auftraggeber gehören. Nach Absprache mit dem Auftraggeber wird der Auftragnehmer, falls nötig, entsprechende Schutzmaßnahmen ergreifen.

Der Auftragnehmer informiert den Auftraggeber unverzüglich, falls eine Aufsichtsbehörde Maßnahmen gegen ihn einleitet, die die vom Auftragnehmer verarbeiteten Daten betreffen könnten. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten, insbesondere bei Auskünften und Kontrollen durch Aufsichtsbehörden (Art. 31 DSGVO).

Der Auftragnehmer stellt dem Auftraggeber alle notwendigen Informationen zur Verarbeitung der Daten im Rahmen dieses Auftragsverarbeitungsvertrags zur Verfügung, die zur Erfüllung gesetzlicher Pflichten erforderlich sind. Dies umfasst insbesondere Anfragen von Betroffenen oder Behörden und die Einhaltung der Rechenschaftspflichten gemäß Art. 5 Abs. 2 DSGVO sowie die Durchführung einer Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO und einer vorherigen Konsultation der Aufsichtsbehörde gemäß Art. 36 DSGVO.

Sollten die Bereitstellung der notwendigen Informationen und die Mitwirkung des Auftragnehmers über dessen vertragliche Leistungspflichten hinausgehen und nicht durch eigenes Fehlverhalten verursacht sein, ist der Auftraggeber verpflichtet, den entstehenden Mehraufwand gesondert zu vergüten.

5. Kontrollrechte

Der Auftraggeber ist berechtigt, die Einhaltung der gesetzlichen Bestimmungen und der Vereinbarungen dieses Auftragsverarbeitungsvertrags, insbesondere der technischen und organisatorischen Maßnahmen (TOMs), beim Auftragnehmer im erforderlichen Maße zu überprüfen (Art. 28 Abs. 3 lit. h DSGVO).

Der Nachweis der Einhaltung erfolgt vorrangig durch die Vorlage geeigneter Unterlagen, etwa der aktuellen Dokumentation der TOMs, Selbstauskünften des Auftragnehmers oder Nachweisen und Zertifikaten der Unterauftragnehmer. Reichen diese Unterlagen im Einzelfall nicht aus, kann der Auftraggeber Inspektionen, auch vor Ort, durchführen. Diese sind grundsätzlich höchstens einmal pro Kalenderjahr zulässig, es sei denn, es besteht ein konkreter Anlass, insbesondere eine Verletzung des Schutzes personenbezogener Daten beim Auftragnehmer oder eine Anordnung der Aufsichtsbehörde.

Vor-Ort-Prüfungen sollen während der üblichen Geschäftszeiten stattfinden, müssen vom Auftraggeber angemessen vorher angekündigt werden (mindestens 21 Tage Vorlauf, außer in Notfällen). Der Auftragnehmer unterstützt die Prüfung in angemessenem Umfang.

Die Überprüfungen sind auf das notwendige Maß beschränkt und müssen die Betriebs- und Geschäftsgeheimnisse des Auftragnehmers sowie den Datenschutz Dritter (z.B. anderer Kunden oder Mitarbeiter des Auftragnehmers) berücksichtigen. Nur qualifizierte Personen, die sich ausweisen können und bezüglich der Geheimhaltung der Geschäftsprozesse des Auftragnehmers und der personenbezogenen Daten Dritter zur Verschwiegenheit verpflichtet sind, dürfen die Kontrollen durchführen.

Anstelle von direkten Einsichtnahmen und Vor-Ort-Kontrollen kann der Auftragnehmer dem Auftraggeber alternative Überprüfungen durch unabhängige Dritte, wie neutrale Datenschutzauditoren, die Einhaltung anerkannter Verhaltensregeln (Art. 40 DSGVO) oder geeignete Datenschutz- oder IT-Sicherheitszertifizierungen gemäß Art. 42 DSGVO vorschlagen, besonders wenn dadurch Betriebs- und Geschäftsgeheimnisse des Auftragnehmers oder der Datenschutz Dritter gewahrt werden kann.

Sollte die Unterstützung und Duldung bei den Kontrollen oder entsprechenden alternativen Maßnahmen über die vertraglichen Leistungspflichten des Auftragnehmers hinausgehen und nicht durch ein Fehlverhalten des Auftragnehmers verursacht sein, so ist der Auftraggeber verpflichtet, dem Auftragnehmer den entstandenen Mehraufwand gesondert zu vergüten.

6. Unterauftragsbeziehungen

Wenn der Auftragnehmer die Dienste eines Unterauftragnehmers (Subunternehmer) nutzt, um bestimmte Verarbeitungsaufgaben im Namen des Auftraggebers durchzuführen, muss er sicherstellen, dass der Unterauftragnehmer denselben Datenschutzverpflichtungen unterliegt, denen er sich im Rahmen dieses Auftragsverarbeitungsvertrags verpflichtet hat. Dies schließt die Befolgung von Weisungen, die Einhaltung der technischen und organisatorischen Maßnahmen (TOMs), die Bereitstellung von Informationen und die Duldung von Kontrollen ein. Darüber hinaus ist der Auftragnehmer verpflichtet, den Unterauftragnehmer sorgfältig auszuwählen, seine Zuverlässigkeit zu prüfen und die Einhaltung der vertraglichen und gesetzlichen Bestimmungen zu überwachen (Art. 28 Abs. 2 u. 4 DSGVO). Kommt ein Unterauftragnehmer seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragnehmers (Art. 28 Abs. 4 S. 2 DSGVO). Unterauftragnehmer mit Sitz oder Verarbeitung in einem Drittland setzt der Auftragnehmer nur ein, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

Der Auftraggeber stimmt ausdrücklich zu, dass der Auftragnehmer im Rahmen der Datenverarbeitung Unterauftragnehmer einsetzen darf, sofern dies nicht durch den Hauptvertrag eingeschränkt ist.

Bestehende Unterauftragsverhältnisse, die bereits bei Abschluss dieses Auftragsverarbeitungsvertrags existieren, werden vom Auftragnehmer im Anhang 1 „Unterauftragsverhältnisse" aufgeführt und gelten als vom Auftraggeber genehmigt.

Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragnehmers mindestens 14 Tage im Voraus in Textform, etwa per E-Mail oder durch eine Mitteilung in der Plattform. Der Auftraggeber kann der Änderung innerhalb von 14 Tagen nach Zugang der Mitteilung aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Erfolgt innerhalb der Frist kein Widerspruch, gilt die Änderung als genehmigt. Bei einem berechtigten Widerspruch bemühen sich die Parteien um eine einvernehmliche Lösung. Kommt diese nicht zustande, kann jede Partei den Hauptvertrag hinsichtlich der betroffenen Leistungen mit einer Frist von einem Monat zum Monatsende kündigen.

Ist die Ersetzung eines Unterauftragnehmers kurzfristig zwingend erforderlich, etwa bei einem Sicherheitsvorfall, einer Insolvenz oder der Einstellung des Dienstes des Unterauftragnehmers, informiert der Auftragnehmer den Auftraggeber unverzüglich nachträglich. Das Widerspruchsrecht gilt in diesem Fall entsprechend.

Vertragliche Beziehungen, in denen der Auftragnehmer Leistungen Dritter als Nebenleistung für seine geschäftlichen Aktivitäten in Anspruch nimmt (wie Reinigungs-, Sicherheits- oder Transportdienste), gelten nicht als Unterauftragsverarbeitung im Sinne dieses Vertrags. Nichtsdestotrotz muss der Auftragsverarbeiter durch vertragliche Vereinbarungen oder klare Anweisungen sicherstellen, dass dabei die Datensicherheit gewahrt und die Bestimmungen dieses Auftragsverarbeitungsvertrags sowie der Datenschutzvorschriften eingehalten werden.

7. Beendigung, Rückgabe und Löschung

Nach Beendigung des Hauptvertrags kann der Auftraggeber innerhalb von 30 Tagen in Textform die Herausgabe seiner Daten verlangen. Der Auftragnehmer exportiert die Daten in diesem Fall aus seinen Systemen und stellt sie dem Auftraggeber innerhalb angemessener Frist in einem gängigen, maschinenlesbaren Format auf einem sicheren Übertragungsweg zur Verfügung. Einzelheiten zu Format und Übergabe stimmen die Parteien im Einzelfall ab. Eine darüber hinausgehende Aufbereitung der Daten, insbesondere in einem vom Auftraggeber gewünschten besonderen Format, erfolgt auf gesonderte Anforderung des Auftraggebers gegen angemessene Vergütung.

Nach Ablauf dieser Frist bzw., wenn der Auftraggeber die Herausgabe verlangt hat, nach Übergabe der Daten löscht der Auftragnehmer die Daten des Auftraggebers einschließlich vorhandener Kopien datenschutzgerecht, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 S. 2 lit. g DSGVO). Der Auftraggeber übt sein Wahlrecht zwischen Rückgabe und Löschung aus, indem er die Herausgabe innerhalb der Frist verlangt. Verlangt er sie nicht, werden die Daten nach Ablauf der Frist gelöscht.

Daten in Sicherungskopien werden im Rahmen des regulären Sicherungszyklus gelöscht, spätestens 90 Tage nach Löschung der Produktivdaten. Bis dahin werden sie nicht weiter verarbeitet und bleiben durch die Maßnahmen nach Anhang 2 geschützt.

Auf Anforderung bestätigt der Auftragnehmer dem Auftraggeber die Löschung in Textform.

Dokumentationen, die dem Nachweis der ordnungsgemäßen und vertragsgemäßen Datenverarbeitung dienen, darf der Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.

8. Verschwiegenheit bei Berufsgeheimnisträgern

Ist der Auftraggeber Berufsgeheimnisträger im Sinne des § 203 StGB, insbesondere Steuerberater, gilt ergänzend Folgendes:

• Der Auftragnehmer wird als mitwirkende Person im Sinne des § 203 Abs. 3 S. 2 StGB tätig. Er verpflichtet sich zur Verschwiegenheit über alle fremden Geheimnisse, die ihm bei der Erbringung seiner Leistungen bekannt werden. Er ist darüber belehrt, dass eine unbefugte Offenbarung fremder Geheimnisse nach § 203 Abs. 4 StGB strafbar ist.
• Der Auftragnehmer verschafft sich Kenntnis von fremden Geheimnissen nur, soweit dies zur Erbringung seiner Leistungen erforderlich ist.
• Der Auftragnehmer verpflichtet die bei der Leistungserbringung eingesetzten Personen in Textform zur Verschwiegenheit und belehrt sie über die strafrechtlichen Folgen einer Pflichtverletzung.
• Die Nutzung der Funktion für KI-gestützte Zusammenfassungen ist freiwillig. Der Auftraggeber entscheidet im Einzelfall, ob er sie nutzt, und berücksichtigt dabei seine berufsrechtlichen Verschwiegenheitspflichten.

Diese Vereinbarung bedarf der Textform, die mit dem Abschluss dieses Vertrags gewahrt ist.

9. Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit sie den Schutz personenbezogener Daten betreffen. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Für die Haftung der Parteien im Verhältnis zueinander gelten die Regelungen des Hauptvertrags einschließlich der dort vereinbarten Haftungsbeschränkungen. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.

Es findet das Recht der Bundesrepublik Deutschland Anwendung. Als ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag gilt der Geschäftssitz des Auftragnehmers, falls der Auftraggeber Kaufmann, eine juristische Person des öffentlichen Rechts oder ein öffentlich-rechtliches Sondervermögen ist, oder keinen Gerichtsstand in Deutschland hat. Der Auftragnehmer behält sich das Recht vor, Ansprüche am gesetzlichen Gerichtsstand geltend zu machen.

Stand: 30.09.2026

---

Anhang 1 – Unterauftragsverhältnisse

Der Auftragnehmer setzt die folgenden Unterauftragnehmer ein. Mit jedem Unterauftragnehmer besteht ein Vertrag über die Auftragsverarbeitung nach Art. 28 Abs. 4 DSGVO. Soweit ein Unterauftragnehmer oder dessen Konzerngesellschaften ihren Sitz in einem Drittland haben, ist die Übermittlung durch die Zertifizierung nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023, Art. 45 DSGVO) und zusätzlich durch Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Art. 46 Abs. 2 lit. c DSGVO) abgesichert.

Google Cloud

Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland

Zweck: Infrastruktur- und Plattformdienstleistungen, Rechenkapazität, Speicherplatz und Datenbankdienste sowie Bereitstellung von KI-Sprachmodellen zur Erstellung von Textzusammenfassungen Ort der Verarbeitung: Rechenzentren im Europäischen Wirtschaftsraum; für die KI-Funktion werden nach Möglichkeit regionale Endpunkte im Europäischen Wirtschaftsraum verwendet Drittlandbezug: Muttergesellschaft Google LLC (USA), zertifiziert nach dem EU-US Data Privacy Framework; Standardvertragsklauseln Vertragsgrundlage: Cloud Data Processing Addendum sowie die jeweils geltenden dienstspezifischen Bedingungen von Google Cloud

Stream (getstream.io)

Stream.io, Inc., 1215 Spruce Street, Suite 300, Boulder, CO 80302, USA

Zweck: Bereitstellung der Chatfunktionalität Ort der Verarbeitung: Rechenzentrum EU West (Dublin, Irland) Drittlandbezug: Sitz in den USA, zertifiziert nach dem EU-US Data Privacy Framework; Standardvertragsklauseln Vertragsgrundlage: Data Processing Addendum

Sentry

Functional Software, Inc. d/b/a Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA

Zweck: Fehlerüberwachung und -behebung im Rahmen der Softwareentwicklung des Verbandspartner Service Ort der Verarbeitung: Rechenzentrum in Frankfurt am Main, Deutschland (Sentry EU-Region) Drittlandbezug: Sitz in den USA, zertifiziert nach dem EU-US Data Privacy Framework; Standardvertragsklauseln Vertragsgrundlage: Data Processing Addendum

Mailgun (Sinch Email)

Mailgun Technologies, Inc., ein Unternehmen der Sinch-Gruppe, 112 E Pecan St. #1135, San Antonio, TX 78205, USA

Zweck: Versand, Empfang und Zustellungsnachverfolgung von E-Mails Ort der Verarbeitung: Rechenzentren im Europäischen Wirtschaftsraum (Mailgun EU-Region) Drittlandbezug: Sitz in den USA, zertifiziert nach dem EU-US Data Privacy Framework; Standardvertragsklauseln Vertragsgrundlage: Sinch Data Protection Agreement

Brevo

Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, Deutschland (Gesellschaft der Brevo-Gruppe, Muttergesellschaft Sendinblue SAS, Paris, Frankreich)

Zweck: Versand, Empfang und Zustellungsnachverfolgung von E-Mails Ort der Verarbeitung: Nach Angaben des Unterauftragnehmers Rechenzentren in Frankreich und Belgien Drittlandbezug: Sitz in der Europäischen Union. Der Unterauftragnehmer setzt seinerseits auch Dienstleister mit Sitz in Drittländern, insbesondere in den USA, ein, etwa für die Auslieferung von Inhalten und den Kundensupport. Nach dessen Angaben erfolgt dies auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln. Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums kann daher nicht vollständig ausgeschlossen werden. Vertragsgrundlage: Data Processing Agreement (Appendix 3 der Nutzungsbedingungen von Brevo)

Anhang 2 – Sicherheitskonzept

Technische und organisatorische Maßnahmen des Auftragnehmers nach Art. 28 Abs. 3 lit. c und Art. 32 DSGVO

Die nachfolgend beschriebenen Maßnahmen können durch gleichwertige oder höherwertige Maßnahmen ersetzt werden, ohne dass es einer Änderung dieses Vertrags bedarf (Abschnitt 3).

Datenschutzorganisation

• Der Auftragnehmer unterhält ein internes Datenschutzmanagementsystem, das regelmäßig überprüft und bewertet wird.
• Es besteht ein Konzept zur Wahrung der Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch und Widerruf) innerhalb der gesetzlichen Fristen, mit festgelegten Verfahren und Zuständigkeiten. Anfragen Betroffener werden an den Auftraggeber weitergeleitet (Abschnitt 4).
• Es besteht ein Konzept zur unverzüglichen und gesetzeskonformen Reaktion auf Datenschutzverletzungen, einschließlich Prüfung, Dokumentation und Meldung an den Auftraggeber, mit festgelegten Verfahren.
• Mitarbeiter werden auf Datenschutz und Verschwiegenheit verpflichtet und für den Datenschutz sensibilisiert. Für die Arbeit außerhalb der Unternehmensräume bestehen Vorgaben.
• Beim Ausscheiden von Mitarbeitern oder bei Änderung ihrer Zuständigkeiten werden ausgegebene Zugangsmittel eingezogen oder deaktiviert und Berechtigungen zur Datenverarbeitung entzogen bzw. angepasst.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

• Die Daten des Auftraggebers werden ausschließlich in Rechenzentren der in Anhang 1 aufgeführten Unterauftragnehmer verarbeitet und gespeichert. Der physische Zutrittsschutz zu diesen Rechenzentren erfolgt durch den jeweiligen Unterauftragnehmer gemäß dessen technischen und organisatorischen Maßnahmen, zu deren Einhaltung er nach Art. 28 Abs. 4 DSGVO vertraglich verpflichtet ist.
• Bei der Auswahl der Unterauftragnehmer achtet der Auftragnehmer auf ein angemessenes Sicherheitsniveau der Rechenzentren, insbesondere auf anerkannte Zertifizierungen (z. B. ISO/IEC 27001).
• In den Geschäftsräumen des Auftragnehmers werden keine Serversysteme mit Daten des Auftraggebers betrieben.

Zugangskontrolle

• Der Benutzer- und Administratorzugang zum Verbandspartner System beruht auf einem rollenbasierten Berechtigungsmodell. Jeder Nutzer erhält eine eindeutige Kennung, sodass alle Systemkomponenten nur von berechtigten Benutzern und Administratoren genutzt werden können.
• Es bestehen technisch durchgesetzte Richtlinien zur Passwortkomplexität.
• Die Serversysteme sind durch Firewalls geschützt. Software und Sicherheitskomponenten werden regelmäßig aktualisiert.
• Administrative Zugänge zu den Serversystemen erfolgen verschlüsselt und mit starker Authentifizierung (z. B. Public-Key-Verfahren).

Zugriffskontrolle

• Es gilt das Prinzip der minimalen Berechtigung. Jeder Benutzer erhält nur die Zugriffsrechte, die er für seine vertraglichen Tätigkeiten benötigt. Weitergehende Rechte werden nur mit entsprechender Freigabe eingeräumt.
• Der Zugriff auf die Produktivsysteme ist auf einen kleinen Kreis von Systemadministratoren beschränkt.

Trennungskontrolle

• Datensätze unterschiedlicher Kunden werden in der Datenbank über eine Mandantenkennung (Tenant-ID) logisch getrennt; die Software ist mandantenfähig.
• Entwicklungs-, Test- und Produktivsysteme sind voneinander unabhängige Systeme. Test- und Produktivdaten sind strikt getrennt.
• Test- und Produktivsystem verwenden unterschiedliche Domains und TLS-Zertifikate.

Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• Alle Serversysteme speichern Daten ausschließlich auf verschlüsselten Datenträgern.
• Datenübertragungen über öffentliche Netze erfolgen verschlüsselt (z. B. TLS bzw. SSH).

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle

• Datenübertragungen an Unterauftragnehmer erfolgen verschlüsselt, in der Regel per TLS.
• Die Datenübertragung zwischen Serversystemen des Auftragnehmers erfolgt grundsätzlich innerhalb abgegrenzter virtueller Netzwerke (VPCs).

KI-Funktionen

• Die Funktion steht nur Nutzern zur Verfügung, die Beiträge oder E-Mails erstellen dürfen, und wird nur auf deren Anforderung ausgeführt.
• Übermittelt wird grundsätzlich nur der zusammenzufassende Text. Weitere Nutzer- oder Empfängerdaten werden nicht bewusst mitgesendet.
• Der Auftragnehmer nutzt, soweit verfügbar, regionale Endpunkte im Europäischen Wirtschaftsraum und die vom Unterauftragnehmer angebotenen Einstellungen zur Begrenzung der Datenspeicherung.
• Nach den Vertragsbedingungen des Unterauftragnehmers werden die Inhalte nicht zum Training von KI-Modellen verwendet.

Eingabekontrolle

• Zugriffe von Systemadministratoren auf die Produktivsysteme werden protokolliert. Die Protokolle werden für eine angemessene Dauer aufbewahrt und sind vor unbefugter Veränderung geschützt.
• Datenabrufe und Übermittlungen werden in angemessenem Umfang protokolliert.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Von allen Kundendaten werden regelmäßig automatisch Sicherungskopien erstellt. Diese werden redundant gespeichert.
• Serversysteme und Datenbanken sind redundant ausgelegt.
• Es besteht ein Notfallkonzept mit festgelegten Zuständigkeiten, das regelmäßig überprüft und bei Bedarf aktualisiert wird.

4. Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)

• Es besteht ein Konzept zur Rekonstruktion der Datenbestände. Die Sicherungskopien werden in angemessenen Abständen auf ihre Wiedereinspielbarkeit geprüft.
• Die Infrastruktur wird mit Infrastructure-as-Code verwaltet und kann dadurch zügig neu aufgebaut werden.

5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Die Grundsätze des Datenschutzes sind in einer internen Datenschutzrichtlinie festgelegt. Ansprechpartner für Datenschutz ist die Verbandspartner GmbH, erreichbar unter datenschutz@verbandspartner.com.
• Die Wirksamkeit der Maßnahmen wird im Rahmen des Datenschutzmanagementsystems regelmäßig bewertet und bei Bedarf angepasst.

Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO)

• Datenschutz wird unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere der Risiken von Anfang an in die Entwicklung und Auswahl von Hard- und Software sowie von Verfahren einbezogen.
• Neue Benutzerkonten werden standardmäßig mit den geringsten Zugriffsrechten angelegt.

Auftragskontrolle

• Daten des Auftraggebers werden ausschließlich auf dessen dokumentierte Weisung verarbeitet. Weisungen werden klar und eindeutig dokumentiert.
• Unbefugte Zugriffe Dritter und unzulässiges Kopieren der Daten sind untersagt und werden durch die oben beschriebenen Maßnahmen verhindert.
• Art und Dokumentation von Datenübermittlungen werden vereinbart.
• Unterauftragnehmer werden sorgfältig ausgewählt, nach Art. 28 Abs. 4 DSGVO vertraglich gebunden und regelmäßig kontrolliert.
• Die Kontrollrechte des Auftraggebers richten sich nach Abschnitt 5.