Auftragsverarbeitungsvertrag (AVV)

Fassung 2026-09-28 (aktuell)

Vereinbarung über die Verarbeitung personenbezogener Daten

Der Auftragsverarbeiter und der Auftraggeber (im Folgenden gemeinsam „Parteien“ und einzeln „Partei“) legen mit diesem Auftragsverarbeitungsvertrag („AVV“) die Bedingungen für die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Auftraggebers gemäß Art. 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DS-GVO”) fest. Dieser AVV regelt die Verarbeitung personenbezogener Daten durch die Synlox GmbH, Schellingstraße 109a, 80798 München (im Folgenden „Auftragsverarbeiter“) im Auftrag des Kunden (im Folgenden „Auftraggeber“) im Zusammenhang mit der Bereitstellung und Nutzung der Services unter den Nutzungsbedingungen (der „Hauptvertrag“). Definierte Begriffe des Hauptvertrags, die in diesem AVV verwendet werden, haben die ihnen im Hauptvertrag zugewiesene Bedeutung, sofern dieser AVV ihnen keine andere Bedeutung zuschreibt.

1. Präambel

Der Auftragsverarbeiter betreibt eine Softwareplattform zur Analyse von Produkt- und Preisdaten von Käufern und Lieferanten sowie zur Bereitstellung von Analysen, Benchmarks, Einsparpotenzialen, Marktinformationen und alternativen Beschaffungsoptionen (die „Leistungen”) gemäß dem Hauptvertrag, dessen Bestandteil dieser AVV ist.

Obwohl sich die Leistungen in erster Linie auf nicht-personenbezogene Produkt- und Preisdaten von Käufern und Lieferanten beziehen, kann der Auftraggeber dem Auftragsverarbeiter im Rahmen der Leistungserbringung personenbezogene Daten zur Verfügung stellen, darunter insbesondere personenbezogene Daten, die in Einkaufsunterlagen, Rechnungen, Angebote, Preislisten, Produktkataloge oder sonstigen Dokumenten enthalten sind, die der Auftraggeber dem Auftragsverarbeiter zur Verfügung stellt. Diese personenbezogenen Daten verarbeitet der Auftragsverarbeiter im Auftrag des Auftraggebers im Zusammenhang mit der Erbringung der Leistungen („personenbezogene Daten des Auftraggebers”).

Soweit in diesem AVV Begriffe verwendet werden, die in der DS-GVO definiert sind haben diese Begriffe die in der DS-GVO festgelegte Bedeutung.

Die Kommunikation zwischen den Parteien erfolgt mindestens in Textform, einschließlich, aber nicht beschränkt auf E-Mail.

2. Gegenstand und Geltungsbereich des AVV

2.1.Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten des Auftraggebers im Auftrag und gemäß den Weisungen des Auftraggebers (Auftragsverarbeitung). Der Auftraggeber bleibt Verantwortlicher.

2.2.Gegenstand, Art und Zweck der Verarbeitung der personenbezogenen Daten des Auftraggebers durch den Auftragsverarbeiter sind im Hauptvertrag und in Anhang 1 zu diesem AVV festgelegt. Die Verarbeitung bezieht sich auf die in Anhang 1 aufgeführten Kategorien der personenbezogenen Daten des Auftraggebers und Kategorien der betroffenen Personen. Die personenbezogenen Daten des Auftraggebers umfassen keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DS-GVO.

2.3.Die Parteien schließen diesen AVV, um ihre gegenseitigen Rechte und Pflichten entsprechend der DS-GVO festzulegen. Im Zweifelsfall haben die Bestimmungen dieses AVV Vorrang vor den Bestimmungen des Hauptvertrags, soweit die Verarbeitung der personenbezogenen Daten des Auftraggebers betroffen ist.

2.4.Die Verarbeitung der personenbezogenen Daten des Auftraggebers durch den Auftragsverarbeiter erfolgt grundsätzlich innerhalb der Europäischen Union oder eines anderen Vertragsstaates des Europäischen Wirtschaftsraums („EWR”). Der Auftragsverarbeiter ist jedoch berechtigt, die personenbezogenen Daten des Auftraggebers gemäß den Bestimmungen dieses AVV auch außerhalb des EWR zu verarbeiten, wenn der Auftragsverarbeiter den Auftraggeber im Voraus über den Ort der Verarbeitung informiert und die Anforderungen der Art. 44 bis 48 DS-GVO erfüllt sind oder eine Ausnahme gemäß Art. 49 DS-GVO vorliegt.

3. Pflichten des Auftraggebers

3.1.Der Auftraggeber ist als Verantwortlicher allein dafür verantwortlich, die Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten des Auftraggebers zu beurteilen und die Rechte der betroffenen Personen in der Beziehung zwischen den Parteien zu wahren.

3.2.Auf Anforderung stellt der Auftraggeber dem Auftragsverarbeiter die in Art. 30 Abs. 2 DS-GVO genannten Informationen zur Verfügung, soweit diese dem Auftragsverarbeiter nicht selbst vorliegen.

3.3.Sofern der Auftragsverarbeiter verpflichtet ist, einer staatlichen Stelle oder Person Informationen über die Verarbeitung der personenbezogenen Daten des Auftraggebers zur Verfügung zu stellen oder auf andere Weise mit diesen Stellen zusammenzuarbeiten, ist der Auftraggeber verpflichtet, den Auftragsverarbeiter auf erstes Anfordern bei der Bereitstellung dieser Informationen und der Erfüllung weiterer Kooperationsverpflichtungen zu unterstützen.

4. Weisungsrecht

4.1.Der Auftragsverarbeiter darf die personenbezogenen Daten des Auftraggebers nur im Rahmen des Hauptvertrags, dieses AVV und gemäß den Weisungen des Auftraggebers verarbeiten. Ist der Auftragsverarbeiter nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, zur weiteren Verarbeitung der personenbezogenen Daten des Auftraggebers verpflichtet, so hat der Auftragsverarbeiter den Auftraggeber vor der Verarbeitung über diese rechtlichen Anforderungen zu informieren, soweit dies rechtlich zulässig ist.

4.2.Die Weisungen des Auftraggebers sind zunächst im Hauptvertrag und in diesem AVV festgelegt und können anschließend vom Auftraggeber in Textform durch spezifische Weisungen (Einzelweisungen) geändert, ergänzt oder ersetzt werden. Der Auftraggeber ist berechtigt, Weisungen jederzeit zu erteilen. Dies umfasst Weisungen zur Berichtigung und Löschung der personenbezogenen Daten des Auftraggebers sowie zur Einschränkung der Verarbeitung.

4.3.Erteilte Weisungen müssen sowohl vom Auftraggeber als auch vom Auftragsverarbeiter in Textform dokumentiert werden. Weisungen, die über die im Hauptvertrag vereinbarte Leistung hinausgehen, werden als Antrag auf Leistungsänderung behandelt und unterliegen dem jeweiligen Änderungsmanagementverfahren im Hauptvertrag.

4.4.Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung des Auftraggebers gegen diesen AVV oder gegen geltendes Datenschutzrecht verstößt, informiert der Auftragsverarbeiter den Auftraggeber unverzüglich. Der Auftragsverarbeiter ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis sie vom Auftraggeber bestätigt oder geändert wird.

5. Schutzmaßnahmen des Auftragsverarbeiters

5.1.Der Auftragsverarbeiter wird in seinem Verantwortungsbereich seine innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des geltenden Datenschutzrechts entspricht. Der Auftragsverarbeiter ist verpflichtet, geeignete technische und organisatorische Maßnahmen zu ergreifen, die den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung der personenbezogenen Daten des Auftraggebers sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen gemäß Art. 32 DS-GVO berücksichtigen, insbesondere die in Anhang 2 aufgeführten Maßnahmen, und diese für die Laufzeit dieses AVV aufrechtzuerhalten.

5.2.Die technischen und organisatorischen Maßnahmen können an künftige technologische Entwicklungen angepasst werden. Die angepassten Maßnahmen müssen mindestens dem Sicherheitsniveau der in Anhang 2 vereinbarten Maßnahmen entsprechen.

5.3.Personen, die beim Auftragsverarbeiter beschäftigt sind, ist es untersagt, die personenbezogenen Daten des Auftraggebers ohne entsprechende Berechtigung zu verarbeiten. Der Auftragsverarbeiter verpflichtet alle Personen, die mit der Verarbeitung der personenbezogenen Daten des Auftraggebers und der Erfüllung dieses AVV befasst sind, entsprechend und weist sie in die besonderen Datenschutzpflichten ein, die sich aus diesem AVV und der bestehenden Weisungs- und Zweckbindung ergeben. Der Auftragsverarbeiter stellt sicher, dass alle Personen, die mit der Verarbeitung der personenbezogenen Daten des Auftraggebers befasst sind, hinsichtlich der Verarbeitung dieser Daten zur Vertraulichkeit verpflichtet sind oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen.

6. Rechte der betroffenen Personen

6.1.Der Auftragsverarbeiter unterstützt den Auftraggeber im Rahmen des Zumutbaren und Erforderlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Pflichten des Auftraggebers nach Art. 12 bis 22 DS-GVO gegen Erstattung der dem Auftragsverarbeiter hierdurch entstehenden Mehraufwendungen und Kosten.

6.2.Sofern betroffene Personen Rechte, wie das Recht auf Auskunft, Berichtigung oder Löschung ihrer personenbezogenen Daten, direkt gegenüber dem Auftragsverarbeiter geltend machen, wird der Auftragsverarbeiter nicht eigenständig tätig, sondern verweist die betroffenen Personen zeitnah an den Auftraggeber und wartet dessen Weisungen ab.

7. Unterstützungs- und Benachrichtigungspflichten des Auftragsverarbeiters

7.1.Der Auftragsverarbeiter unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflichten nach Art. 32 DS-GVO, wobei die Art der Verarbeitung und die dem Auftragsverarbeiter zur Verfügung stehenden Informationen zu berücksichtigen sind.

7.2.Soweit den Auftraggeber eine gesetzliche Meldepflicht wegen einer Verletzung des Schutzes personenbezogener Daten des Auftraggebers trifft (insbesondere nach Art. 33, 34 DS-GVO), informiert der Auftragsverarbeiter den Auftraggeber zeitnah über alle in seinem Verantwortungsbereich liegenden meldepflichtigen Ereignisse. Der Auftragsverarbeiter unterstützt den Auftraggeber auf dessen Ersuchen im Rahmen des Zumutbaren und Erforderlichen bei der Erfüllung der Meldepflichten gegen Erstattung der dem Auftragsverarbeiter hierdurch entstehenden Mehraufwendungen und Kosten.

7.3.Der Auftragsverarbeiter unterstützt den Auftraggeber im Rahmen des Zumutbaren und Erforderlichen gegen Erstattung der dem Auftragsverarbeiter hierdurch entstehenden Mehraufwendungen und Kosten bei Datenschutz-Folgenabschätzungen des Auftraggebers und gegebenenfalls anschließender Konsultation der Aufsichtsbehörde nach Art. 35, 36 DS-GVO.

8. Kontrollrechte des Auftraggebers

8.1.Der Auftragsverarbeiter stellt dem Auftraggeber auf dessen Anforderung alle Informationen zur Verfügung, die erforderlich und dem Auftragsverarbeiter zugänglich sind, um die Einhaltung seiner Verpflichtungen aus diesem AVV nachzuweisen.

8.2.Der Auftraggeber ist berechtigt, beim Auftragsverarbeiter Audits zur Überprüfung der Einhaltung der Bestimmungen dieses AVV, insbesondere der Umsetzung der technischen und organisatorischen Maßnahmen, durchzuführen; dies schließt Inspektionen ein.

8.3.Der Auftraggeber führt Inspektionen nur im erforderlichen Umfang gegen Erstattung der dem Auftragsverarbeiter hierdurch entstehenden Mehraufwendungen und Kosten durch. Etwaige Inspektionen dürfen den Betriebsablauf beim Auftragsverarbeiter nicht unverhältnismäßig stören. Zur Durchführung von Inspektionen ist der Auftraggeber berechtigt, nach rechtzeitiger Vorankündigung gemäß Ziffer 8.4 dieses AVV, auf eigene Kosten, ohne Störung des Betriebsablaufs und unter strikter Wahrung der Geschäfts- und Betriebsgeheimnisse des Auftragsverarbeiters, innerhalb der üblichen Geschäftszeiten (montags bis freitags von 9 bis 17 Uhr ME(S)Z) die Geschäftsräume des Auftragsverarbeiters zu betreten, in denen die personenbezogenen Daten des Auftraggebers verarbeitet werden.

8.4.Der Auftraggeber informiert den Auftragsverarbeiter mindestens zwei Wochen im Voraus über alle Umstände im Zusammenhang mit der Durchführung des Audits. Der Auftraggeber kann pro Kalenderjahr ein Audit durchführen. Diese Regelung gilt nicht für Audits nach einem Sicherheitsvorfall, der die Anforderungen von Art. 33 DS-GVO oder Art. 34 DS-GVO erfüllt.

8.5.Der Auftragsverarbeiter ist berechtigt, nach eigenem Ermessen und unter Berücksichtigung der rechtlichen Verpflichtungen des Auftraggebers keine Informationen offenzulegen, die für das Geschäft des Auftragsverarbeiters sensibel sind oder deren Offenlegung gegen gesetzliche oder andere vertragliche Bestimmungen verstoßen würde. Der Auftraggeber hat keinen Anspruch auf Zugang zu Daten oder Informationen über andere Kunden des Auftragsverarbeiters, zu Kosteninformationen, zu Berichten über Qualitätskontrollen und Vertragsmanagement oder zu anderen vertraulichen Daten des Auftragsverarbeiters, die für die vereinbarten Auditzwecke nicht unmittelbar relevant sind.

8.6.Wenn der Auftraggeber einen Dritten mit der Durchführung des Audits beauftragt, hat der Auftraggeber den Dritten in gleicher Weise schriftlich zu verpflichten, wie der Auftraggeber gegenüber dem Auftragsverarbeiter aufgrund dieses Abschnitts des AVV verpflichtet ist. Darüber hinaus hat der Auftraggeber den Dritten auf Verschwiegenheit und Geheimhaltung zu verpflichten, es sei denn, der Dritte unterliegt einer beruflichen Verschwiegenheitspflicht. Auf Verlangen des Auftragsverarbeiters hat der Auftraggeber diesem unverzüglich eine Kopie der Verpflichtungsvereinbarung mit dem Dritten vorzulegen. Der Auftraggeber darf keinen Konkurrenten des Auftragsverarbeiters mit der Durchführung des Audits beauftragen.

8.7.Der Auftraggeber hat die Ergebnisse der von ihm durchgeführten oder in Auftrag gegebenen Audits zu dokumentieren und den Auftragsverarbeiter über deren Ergebnis zu informieren. Stellt der Auftraggeber im Rahmen eines Audits Fehler oder Unregelmäßigkeiten fest, hat er den Auftragsverarbeiter unverzüglich zu informieren. Werden bei einem Audit Sachverhalte festgestellt, die zur Vermeidung solcher Sachverhalte in der Zukunft Änderungen des beauftragten Verfahrens erfordern, hat der Auftraggeber den Auftragsverarbeiter unverzüglich über die erforderlichen Verfahrensänderungen zu informieren.

8.8.Nach Ermessen des Auftragsverarbeiters kann der Nachweis der Einhaltung der Verpflichtungen aus diesem AVV anstelle einer Inspektion durch die Vorlage einer entsprechenden aktuellen Stellungnahme oder eines Berichts einer unabhängigen Stelle (z. B. Wirtschaftsprüfer, Revisionsabteilung, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren oder Qualitätsauditoren) oder durch eine geeignete Zertifizierung im Bereich IT-Sicherheit oder Datenschutz, z. B. nach BSI-Grundschutz, erbracht werden, sofern der Auditbericht dem Auftraggeber in angemessener Weise die Überprüfung der Einhaltung der vertraglichen Verpflichtungen ermöglicht und keine anwendbaren gesetzlichen Bestimmungen etwas anderes vorsehen.

9. Einsatz von Unterauftragsverarbeitern

9.1.Der Auftraggeber erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung, weitere Unterauftragsverarbeiter mit der Verarbeitung der personenbezogenen Daten des Auftraggebers zu beauftragen. Die in Anhang 3 aufgeführten Unterauftragsverarbeiter sind vom Auftraggeber genehmigt. Der Auftragsverarbeiter ist befugt, im Rahmen seiner vertraglichen Verpflichtungen weitere Unterauftragsverhältnisse mit Unterauftragsverarbeitern einzugehen. Der Auftragsverarbeiter ist verpflichtet, Unterauftragsverarbeiter sorgfältig nach ihrer Eignung und Zuverlässigkeit auszuwählen.

9.2.Der Auftragsverarbeiter informiert den Auftraggeber über alle beabsichtigten Änderungen in Bezug auf die Beauftragung oder die Ersetzung von Unterauftragsverarbeitern. Dem Auftraggeber steht im Einzelfall das Recht zu, der Beauftragung eines potenziellen Unterauftragsverarbeiters zu widersprechen. Ein Widerspruch darf vom Auftraggeber nur aus wichtigem, dem Auftragsverarbeiter nachzuweisenden Grund erhoben werden. Soweit der Auftraggeber nicht innerhalb von 10 Kalendertagen nach Zugang der Mitteilung in Textform widerspricht, erlischt sein Widerspruchsrecht bezüglich der entsprechenden Beauftragung. Wenn der Auftraggeber widerspricht, ist der Auftragsverarbeiter berechtigt, den Hauptvertrag und diesen AVV mit einer Frist von drei Monaten zu kündigen.

9.3.Die Vereinbarung zwischen dem Auftragsverarbeiter und dem weiteren Unterauftragsverarbeiter muss dem Unterauftragsverarbeiter dieselben Verpflichtungen auferlegen, die dem Auftragsverarbeiter gemäß diesem AVV obliegen. Die Parteien vereinbaren, dass diese Anforderung erfüllt ist, wenn der Vertrag ein Schutzniveau aufweist, das diesem AVV entspricht.

9.4.Vorbehaltlich der Einhaltung der Anforderungen von Ziffer 2.4 dieses AVV gelten die Bestimmungen dieser Ziffer 9 auch, wenn ein weiterer Unterauftragsverarbeiter in einem Drittland beteiligt ist. Die Parteien vereinbaren, dass in einem solchen Fall die Anforderungen von Ziffer 9.3 erfüllt sind, wenn die anwendbaren EU-Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer mit dem weiteren Unterauftragsverarbeiter in dem Drittland abgeschlossen werden. Der Auftraggeber erklärt sich bereit, bei der Erfüllung der Anforderungen von Art. 49 DS-GVO im erforderlichen Umfang mitzuwirken.

9.5.Die Beauftragung Dritter mit Dienstleistungen, die vom Auftragsverarbeiter als reine Nebenleistungen anzusehen sind, begründet kein Unterauftragsverhältnis im Sinne dieser Bestimmungen. Hierzu zählen insbesondere Post-, Transport- und Versanddienstleistungen, Reinigungsdienste, Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die der Auftragsverarbeiter für den Auftraggeber erbringt, Sicherheitsleistungen sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen. Die Verpflichtung des Auftragsverarbeiters zur Gewährleistung der Einhaltung des Datenschutzes und der Datensicherheit bleibt in diesen Fällen unberührt.

10. Haftung

10.1.Es gelten die Haftungsbeschränkungen des Hauptvertrags.

10.2.Soweit Dritte Ansprüche gegen den Auftragsverarbeiter geltend machen, die auf einer schuldhaften Verletzung dieses AVV durch den Auftraggeber oder einer seiner Pflichten als Verantwortlicher im Sinne der DS-GVO beruhen, hat der Auftraggeber den Auftragsverarbeiter von diesen Ansprüchen freizustellen und schadlos zu halten.

10.3.Der Auftraggeber verpflichtet sich, den Auftragsverarbeiter von allen möglichen gegen den Auftragsverarbeiter verhängten Geldbußen freizustellen, soweit diese dem Verursachungsanteil des Auftraggebers an dem bußgeldbewehrten Verstoß entsprechen.

11. Laufzeit und Kündigung

11.1.Die Laufzeit dieses AVV richtet sich nach der Laufzeit des Hauptvertrags, sofern die Umstände dieses AVV nichts anderes erfordern.

11.2.Die Kündigung dieses AVV richtet sich nach den jeweiligen Bestimmungen des Hauptvertrags. Eine Kündigung des Hauptvertrags führt automatisch zur Kündigung dieses AVV. Eine isolierte Kündigung dieses AVV ist ausgeschlossen.

12. Löschung der personenbezogenen Daten des Auftraggebers

Nach Beendigung des Hauptvertrags oder jederzeit auf schriftlichen Wunsch des Auftraggebers löscht der Auftragsverarbeiter alle ihm zur Verfügung gestellten personenbezogenen Daten des Auftraggebers, es sei denn, der Auftragsverarbeiter ist gesetzlich verpflichtet, die personenbezogenen Daten des Auftraggebers weiter zu speichern.

13. Schlussbestimmungen

13.1.Sollten einzelne Bestimmungen dieses AVV unwirksam sein, unwirksam werden oder eine Regelungslücke enthalten, so bleiben die übrigen Bestimmungen hiervon unberührt. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine rechtlich zulässige Bestimmung zu ersetzen, die dem Zweck der unwirksamen Bestimmung am nächsten kommt und dabei den Anforderungen von Art. 28 DS-GVO entspricht.

13.2.Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist München. Der Auftragsverarbeiter ist auch berechtigt, am Unternehmenssitz des Auftraggebers oder einem anderen zuständigen Gericht zu klagen.

13.3.Es gilt das Recht der Bundesrepublik Deutschland.

13.4.Dieser Auftragsverarbeitungsvertrag ist in deutscher und englischer Sprache verfügbar. Im Falle von Widersprüchen oder Abweichungen zwischen der deutschen und der englischen Fassung ist die deutsche Fassung maßgeblich.

Stand: 2026-09-28

Anhänge zu diesem AVV

Anhang 1: Beschreibung der Datenarten und Kategorien betroffener Personen

Anhang 2: Technische und organisatorische Maßnahmen des Auftragsverarbeiters

Anhang 3: Genehmigte Unterauftragsverarbeiter des Auftragsverarbeiters

Anhang 1: Beschreibung der Datenarten und Kategorien betroffener Personen

Anhang 2: Technische und organisatorische Maßnahmen des Auftragsverarbeiters

§ 1 Vertraulichkeit gemäß Art. 32 Abs. 1 DS-GVO

(1)Zutrittskontrolle

Maßnahmen, die geeignet sind, zu verhindern, dass Unbefugte Zugang zu Datenverarbeitungsanlagen erhalten, mit denen personenbezogene Daten des Auftraggebers verarbeitet oder genutzt werden:

• Keine eigene Serverinfrastruktur; die Verarbeitung erfolgt ausschließlich in Rechenzentren professioneller Cloud-Anbieter: Fly.io (SOC-2-Typ-II-testiert; Rechenzentrumsstandort Frankfurt am Main, Deutschland, in ISO-27001-zertifizierten Rechenzentren) und Hetzner Online GmbH (Rechenzentrum Falkenstein, Deutschland; ISO-27001-zertifiziert).
• Die physische Zutrittskontrolle (Zutrittsbeschränkung, Videoüberwachung, Sicherheitspersonal) obliegt den Rechenzentrumsbetreibern und ist über deren Zertifizierungen und Auftragsverarbeitungsverträge nachgewiesen.
• Arbeitsgeräte der Mitarbeiter sind vollverschlüsselt und mit automatischer Bildschirmsperre konfiguriert.

(2)Zugangskontrolle der Anwendungen

Maßnahmen, die geeignet sind, zu verhindern, dass Datenverarbeitungssysteme von unberechtigten Personen genutzt werden:

• Personalisierte Benutzerkonten für alle Systeme; keine geteilten Konten.
• Zwei-Faktor-Authentifizierung für alle administrativen Zugänge (Hosting, Code-Repository, Cloud-Konsolen, Zahlungsdienstleister).
• Passwörter der Endnutzer werden ausschließlich als kryptografischer Hash gespeichert; Bot-Schutz beim Login; Sperrmechanismen gegen automatisierte Anmeldeversuche.
• Zugangsdaten und kryptografische Schlüssel werden nicht im Quellcode oder in der Versionsverwaltung abgelegt, sondern in einem geschützten, verschlüsselten Konfigurationsspeicher der Hosting-Umgebung sowie auf den vollverschlüsselten Arbeitsgeräten berechtigter Mitarbeiter verwaltet.

(3)Zugriffskontrolle

Maßnahmen, die sicherstellen, dass die zur Benutzung des Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten des Auftraggebers zugreifen können und dass personenbezogene Daten des Auftraggebers bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder gelöscht werden können:

• Need-to-know-Prinzip: Die Zugangsdaten sind nach Systemkomponenten getrennt; jede Komponente der Plattform erhält nur diejenigen Zugangsdaten, die sie für ihre jeweilige Funktion benötigt.
• Interne Systemschnittstellen sind nicht öffentlich aus dem Internet erreichbar (keine öffentliche IP-Adresse; Kommunikation ausschließlich über das private Netzwerk der Hosting-Umgebung) und zusätzlich durch API-Schlüssel abgesichert.
• Zugriffe über die Programmierschnittstelle (API) werden protokolliert (strukturierte Zugriffsprotokolle mit Vorgangs-ID, ohne Inhaltsdaten)

(4)Trennungskontrolle

Maßnahmen, die sicherstellen, dass die zu unterschiedlichen Zwecken erhobenen personenbezogenen Daten des Auftraggebers getrennt verarbeitet werden:

• Mandantentrennung: Vom Auftraggeber bereitgestellte Dokumente und die daraus extrahierten Daten tragen eine Mandanten-ID; Abfragen im Auftrag eines Auftraggebers sind mandantengefiltert (logische Trennung der Kunden). Lieferanten- und Artikelstammdaten sowie aggregierte Preisinformationen werden gemäß §§ 4 und 5 der Nutzungsbedingungen mandantenübergreifend geführt.
• Getrennte Datenbanken für Produkt- und Analyse-Schicht.

§ 2 Pseudonymisierung und Verschlüsselung gemäß Art. 32 Abs. 1 lit. a und Art. 25 Abs. 1 DS-GVO

Maßnahmen, die sicherstellen, dass die personenbezogenen Daten des Auftraggebers ohne die Verwendung zusätzlicher Informationen nicht mehr einer bestimmten betroffenen Person zugeordnet werden können, sofern diese Informationen getrennt aufbewahrt werden und geeigneten technischen und organisatorischen Maßnahmen unterliegen:

• Transportverschlüsselung (TLS) für sämtliche Verbindungen (Nutzer ↔ Plattform, Plattform ↔ Unterauftragsverarbeiter).
• Verschlüsselung ruhender Daten in der Datenbank (verschlüsselte Datenträger bei Fly.io).
• Datei-Uploads und -Downloads nur über kurzlebige, signierte URLs (10 bzw. 15 Minuten gültig).
• Binärdaten (Dokumentinhalte) werden aus KI-Verarbeitungsprotokollen entfernt und nur als Referenz gespeichert.
• keine Speicherung personenbezogener Daten, Tokens oder Passwörter im Klartext in Logs.

§ 3 Vertraulichkeit (Unterweisung der Mitarbeiter), Art. 32 Abs. 1 lit. b DS-GVO

Maßnahmen, um sicherzustellen, dass die Mitarbeiter hinreichend über die geltenden rechtlichen Bestimmungen informiert sind:

• Alle Mitarbeiter und Auftragnehmer sind vertraglich zur Vertraulichkeit verpflichtet und werden für den Umgang mit personenbezogenen Daten sensibilisiert.

§ 4 Integrität gemäß Art. 32 Abs. 1 lit. b DS-GVO

(1)Weitergabekontrolle

Maßnahmen, die sicherstellen, dass personenbezogene Daten des Auftraggebers bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder gelöscht werden können und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten des Auftraggebers durch Einrichtungen zur Datenübertragung vorgesehen ist:

• Datenübertragung ausschließlich verschlüsselt; Empfänger sind abschließend in Anhang 3 dokumentiert; mit allen Unterauftragsverarbeitern bestehen Auftragsverarbeitungsverträge bzw. EU-Standardvertragsklauseln.

(2)Eingabe- und Dokumentationskontrolle

Maßnahmen, die eine spätere Feststellung und Überprüfung sicherstellen, ob und von wem personenbezogene Daten des Auftraggebers in Datenverarbeitungssysteme eingegeben, geändert oder daraus gelöscht wurden:

• Änderungen an der Software nur über versionierte, nachvollziehbare Änderungen (Git, Review-/Merge-Request-Pflicht, kein Direkt-Push auf den Hauptzweig).
• Jede KI-gestützte Verarbeitung eines Dokuments wird protokolliert (Verarbeitungsschritte je Vorgang; dient zugleich der internen Kosten- und Nutzungsanalyse).

§ 5 Verfügbarkeit und Belastbarkeit gemäß Art. 32 Abs. 1 lit. b DS-GVO und Wiederherstellbarkeit nach physischem oder technischem Zwischenfall gemäß Art. 32 Abs. 1 lit. c DS-GVO

Maßnahmen, die sicherstellen, dass personenbezogene Daten des Auftraggebers vor zufälliger Löschung oder Verlust geschützt sind:

• Managed-Datenbankbetrieb mit automatisierten täglichen Backups; dokumentiertes Wiederherstellungskonzept mit regelmäßigen Restore-Tests.
• Infrastruktur als Code (reproduzierbare Deployments); automatische Health-/Liveness-Checks mit Selbstheilung (automatischer Neustart fehlerhafter Prozesse).
• Redundante Strom- und Netzanbindung der Rechenzentren durch die Provider gewährleistet.

§ 6 Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung gemäß Art. 32 Abs. 1 lit. d DS-GVO

(1)Datenschutzmanagement

Maßnahmen zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen:

• Jährliche Überprüfung und Fortschreibung dieser TOM.
• Regelmäßige Überprüfung, ob ein Datenschutzbeauftragter benannt werden muss (§ 38 BDSG)

(2)Management von Sicherheitsvorfällen

Maßnahmen zur Unterstützung bei der Reaktion auf Sicherheitsverletzungen:

• Dokumentierter Prozess zur Erkennung, Bewertung und Meldung von Sicherheitsvorfällen einschließlich der Meldewege nach Art. 33/34 DS-GVO.

§ 7 Unterstellte Personen haben nur auf Weisung des Auftraggebers Zugriff auf personenbezogene Auftraggeber-Daten gemäß Art. 32 Abs. 4 DS-GVO

Maßnahmen, die sicherstellen, dass nachgeordnete natürliche Personen, die Zugriff auf personenbezogene Daten des Auftraggebers haben, diese nur auf Weisung des Auftraggebers verarbeiten:

• Zugriff auf Auftraggeber-Daten wird nur gewährt, soweit für die Leistungserbringung erforderlich; eine Verarbeitung außerhalb der Weisung ist untersagt.

§ 8 Datenschutzfreundliche Voreinstellungen gemäß Art. 25 Abs. 2 DS-GVO

Maßnahmen, die sicherstellen, dass standardmäßig nur die für den jeweiligen Zweck erforderlichen personenbezogenen Daten des Auftraggebers verarbeitet werden:

• Datenminimierung: Nutzerkonten erfordern nur Name und geschäftliche E-Mail-Adresse; die Analyse bezieht sich auf Produkt-/Preisdaten, nicht auf Personen.
• KI-Aufrufe außerhalb der Dokumentenverarbeitung erhalten nur Produkt-/Artikeldaten, keine Dokumente.
• Löschkonzept: dokumentiertes Verfahren zur vollständigen Löschung sämtlicher Auftraggeber-Daten (Datenbank, Objektspeicher, Verarbeitungsprotokolle) nach Vertragsende oder auf Weisung des Auftraggebers.

§ 9 Unterauftragsverarbeiter (Beauftragung Dritter) gemäß Art. 28 DS-GVO

Maßnahmen, die sicherstellen, dass personenbezogene Daten des Auftraggebers, die im Auftrag des Auftragsverarbeiters durch Unterauftragsverarbeiter (weiter-)verarbeitet werden, nur gemäß den Weisungen des Auftragsverarbeiters verarbeitet werden:

• Sorgfältige Auswahl; Abschluss von Auftragsverarbeitungsverträgen bzw. EU-Standardvertragsklauseln mit sämtlichen Unterauftragsverarbeitern;Information des Auftraggebers bei Änderungen gemäß Ziffer 9 des AVV.

Anhang 3: Genehmigte Unterauftragsverarbeiter des Auftragsverarbeiters

Die folgenden Unternehmen sind genehmigte Unterauftragsverarbeiter im Sinne von Ziffer 9.1 dieses AVV: