Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

Präambel

Die Parteien haben einen Vertrag über die Nutzung der Software-as-a-Service-Lösung smartextract geschlossen (nachfolgend „Hauptvertrag“). Im Rahmen der Leistungserbringung verarbeitet dida personenbezogene Daten, für die der Kunde Verantwortlicher im Sinne des Art. 4 Nr. 7 DS-GVO ist.

Dieser Vertrag (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien nach Art. 28 DS-GVO. Er geht dem Hauptvertrag in datenschutzrechtlichen Fragen vor; im Übrigen gelten die Regelungen des Hauptvertrags ergänzend.

Ziffer 1 — Gegenstand und Dauer der Vereinbarung

1.1 Gegenstand

dida erbringt für den Kunden die im Hauptvertrag beschriebene Leistung: das automatisierte Auslesen, Klassifizieren, Strukturieren und Validieren von Geschäftsdokumenten sowie die Bereitstellung der zugehörigen Weboberfläche („Data Studio“) und Programmierschnittstellen. dida verarbeitet dabei personenbezogene Daten für den Kunden im Sinne von Art. 4 Nr. 2 und Art. 28 DS-GVO auf Grundlage dieses Vertrages.

1.2 Ort der Leistungserbringung

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich in Rechenzentren, die in einem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum belegen sind. Der Standort ist in Anlage 2 konkret bezeichnet.

Jede Verlagerung der Verarbeitung oder von Teilen davon in ein Drittland bedarf der vorherigen Information des Kunden nach Ziffer 7.4 und darf nur erfolgen, wenn die Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind (Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln nebst Transfer Impact Assessment, genehmigte Verhaltensregeln oder Zertifizierungsmechanismen).

Ein Zugriff auf personenbezogene Daten aus einem Drittland heraus — etwa im Rahmen von Fernwartung, Support oder Störungsbeseitigung — steht einer Verlagerung gleich und ist nach Maßgabe von Satz 2 zu behandeln. Soweit einzelne Unterauftragsverarbeiter in eng begrenzten Konstellationen einen Drittlandzugriff nicht vollständig ausschließen können, ist dies in Anlage 2 ausdrücklich offengelegt und mit einer Grundlage nach Kapitel V DS-GVO unterlegt.

1.3 Keine Nutzung zu eigenen Zwecken; kein KI-Training

dida verwendet die im Auftrag verarbeiteten personenbezogenen Daten ausschließlich zur Erbringung der vertraglich geschuldeten Leistung. Eine Nutzung zu eigenen Zwecken findet nicht statt.

Insbesondere werden Kundendaten nicht zum Training, zur Feinabstimmung (Fine-Tuning) oder zur sonstigen Verbesserung von Modellen künstlicher Intelligenz verwendet — weder durch dida noch durch einen Unterauftragsverarbeiter. dida stellt dies durch entsprechende vertragliche Zusicherungen und Konfigurationseinstellungen gegenüber den in Anlage 2 genannten Unterauftragsverarbeitern sicher.

Von diesem Verbot unberührt bleibt die Auswertung anonymisierter, keinen Personenbezug mehr aufweisender Nutzungsstatistiken (etwa Durchsatz, Fehlerquoten, Antwortzeiten) zur Sicherstellung und Verbesserung des Betriebs.

1.4 Dauer

Dieser AVV beginnt mit Wirksamwerden des Hauptvertrags und endet mit dessen Beendigung. Er ist an die Laufzeit des Hauptvertrags gebunden und kann nicht isoliert gekündigt werden. Verpflichtungen, die ihrer Natur nach über das Vertragsende hinauswirken — insbesondere Ziffern 5.11 (Vertraulichkeit), 9 (Beendigungspflichten) und 13.3 (Aufbewahrung) — bleiben bestehen.

1.5 Außerordentliches Kündigungsrecht des Kunden

Der Kunde kann den Hauptvertrag einschließlich dieses AVV jederzeit ohne Einhaltung einer Frist kündigen, wenn

• ein schwerwiegender Verstoß von dida gegen Datenschutzvorschriften oder gegen die Bestimmungen dieses Vertrages vorliegt,
• dida eine rechtmäßige Weisung des Kunden nicht ausführen kann oder will, oder
• dida Kontrollrechte des Kunden nach Ziffer 5.9 vertragswidrig verweigert.

Die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art. 28 DS-GVO abgeleiteten Pflichten stellt einen schweren Verstoß dar. Soweit der Verstoß behebbar ist, ist dida zuvor eine angemessene Frist zur Abhilfe zu setzen; dies gilt nicht, wenn die Fristsetzung dem Kunden wegen der Schwere des Verstoßes unzumutbar ist.

Ziffer 2 — Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen

2.1 Art der Verarbeitung (Art. 4 Nr. 2 DS-GVO)

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung an den Kunden, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten — jeweils im Rahmen der automatisierten Dokumentenverarbeitung und der Bereitstellung des Data Studio.

2.2 Zweck der Verarbeitung

Ausschließlich die Erbringung der im Hauptvertrag beschriebenen Leistung, namentlich:

• Entgegennahme und Speicherung der vom Kunden bereitgestellten Dokumente,
• automatisierte Extraktion, Klassifikation und Strukturierung der Dokumenteninhalte, einschließlich der Auswertung durch Sprachmodelle,
• Bereitstellung der Ergebnisse zur Prüfung, Korrektur und Freigabe durch den Kunden im Data Studio,
• Übergabe der Ergebnisse an die vom Kunden bestimmten Zielsysteme,
• Verwaltung der Benutzerkonten des Kunden,
• technischer Support, Störungsbeseitigung und Gewährleistung der Betriebssicherheit.

2.3 Art der personenbezogenen Daten

Der Kunde bestimmt durch die von ihm bereitgestellten Dokumente, welche personenbezogenen Daten verarbeitet werden. Typischerweise umfasst dies:

• Kontakt- und Kommunikationsdaten (Name, Anschrift, Telefonnummer, E-Mail-Adresse, Funktion),
• Vertrags- und Abwicklungsdaten (Vertragsnummern, Leistungsgegenstände, Laufzeiten, Korrespondenz),
• Zahlungs- und Bankdaten (Rechnungsdaten, Beträge, IBAN, BIC, Kontoinhaber, Zahlungsreferenzen),
• Identifikations- und Ordnungsmerkmale (Kunden-, Lieferanten-, Personal- und Steuernummern),
• Nutzungs- und Protokolldaten der im Data Studio angelegten Benutzerkonten (Anmeldedaten, Zeitstempel, IP-Adressen, durchgeführte Prüf-, Korrektur- und Freigabeschritte).

2.4 Besondere Kategorien personenbezogener Daten

Die Leistung ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DS-GVO oder von Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Art. 10 DS-GVO ausgelegt.

Der Kunde verpflichtet sich, solche Daten nicht in die Leistung einzubringen, es sei denn, die Parteien haben dies zuvor in Textform gesondert vereinbart und dida hat die dafür erforderlichen zusätzlichen Schutzmaßnahmen bestätigt. Für Schäden und Ansprüche, die aus einem Verstoß gegen diese Verpflichtung resultieren, gilt Ziffer 11.4.

Erlangt dida Kenntnis davon, dass entgegen Satz 1 besondere Kategorien personenbezogener Daten verarbeitet werden, informiert dida den Kunden unverzüglich und die Parteien stimmen das weitere Vorgehen ab.

2.5 Kategorien betroffener Personen

• Beschäftigte des Kunden und Bewerber,
• Kunden des Kunden sowie deren Beschäftigte und Ansprechpartner,
• Lieferanten und Geschäftspartner des Kunden sowie deren Beschäftigte und Ansprechpartner,
• sonstige natürliche Personen, deren Daten in den vom Kunden bereitgestellten Dokumenten enthalten sind.

Ziffer 3 — Rechte und Pflichten sowie Weisungsbefugnisse des Kunden

3.1 Verantwortlichkeit des Kunden

Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DS-GVO, für das Vorliegen einer tragfähigen Rechtsgrundlage sowie für die Wahrung der Rechte der betroffenen Personen nach Art. 12 bis 22 DS-GVO ist allein der Kunde verantwortlich. Der Kunde erfüllt die Informationspflichten nach Art. 13 und 14 DS-GVO gegenüber den betroffenen Personen.

dida leitet Anfragen betroffener Personen, die erkennbar ausschließlich an den Kunden gerichtet sind, unverzüglich an diesen weiter und beantwortet sie nicht selbst.

3.2 Weisungsrecht

Der Kunde erteilt alle Aufträge, Teilaufträge und Weisungen in Textform oder in einem dokumentierten elektronischen Format. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

Als dokumentierte Weisung gelten auch die vom Kunden im Data Studio vorgenommenen Konfigurationen, insbesondere zu Aufbewahrungsdauern, Berechtigungen, Extraktionsschemata und Zielsystemen. Dieser Vertrag einschließlich seiner Anlagen stellt die initiale dokumentierte Weisung dar.

3.3 Änderungen der Verarbeitung

Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind zwischen den Parteien abzustimmen und in Textform oder einem dokumentierten elektronischen Format festzulegen.

3.4 Kontrollrecht

Der Kunde ist berechtigt, sich nach Maßgabe der Ziffer 5.9 vor Beginn der Verarbeitung und sodann regelmäßig in angemessener Weise von der Einhaltung der bei dida getroffenen technischen und organisatorischen Maßnahmen sowie der in diesem Vertrag festgelegten Verpflichtungen zu überzeugen.

3.5 Informationspflicht des Kunden

Der Kunde informiert dida unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Verarbeitungsergebnisse feststellt, die auf einen datenschutzrechtlich relevanten Sachverhalt hindeuten.

3.6 Vertraulichkeitspflicht des Kunden

Der Kunde ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen von dida vertraulich zu behandeln. Dies gilt insbesondere für Auditberichte, Prüftestate und die Detailinhalte der Anlage 1. Die Verpflichtung bleibt auch nach Beendigung dieses Vertrages bestehen.

Ziffer 4 — Weisungsberechtigte und Weisungsempfänger

4.1 Weisungsberechtigte des Kunden

4.2 Weisungsempfänger bei dida

Allgemeiner Kommunikationsweg für datenschutzrelevante Mitteilungen an dida — E-Mail: datenschutz@dida.do · Post: dida Datenschmiede GmbH, Ritterstraße 12–14, 10969 Berlin, Stichwort „Datenschutz“.

4.3 Datenschutzbeauftragte bei dida

Als Datenschutzbeauftragte ist bestellt: Kirsten Matthias, dida Datenschmiede GmbH, Ritterstraße 12–14, 10969 Berlin, Telefon +49 30 921058801, E-Mail datenschutz@dida.do.

Ein Wechsel des Datenschutzbeauftragten ist dem Kunden unverzüglich mitzuteilen.

4.4 Vertretung und Nachfolge

Bei einem Wechsel oder einer längerfristigen Verhinderung der benannten Ansprechpartner sind der jeweils anderen Partei unverzüglich in Textform die Nachfolger bzw. Vertreter mitzuteilen.

4.5 Aufbewahrung von Weisungen

Weisungen sind von beiden Parteien für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.

Ziffer 5 — Pflichten von dida

5.1 Verarbeitung nur auf Weisung

dida verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Kunden, sofern dida nicht durch das Recht der Union oder der Mitgliedstaaten, dem dida unterliegt, zu einer anderen Verarbeitung verpflichtet ist. In einem solchen Fall teilt dida dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DS-GVO).

5.2 Hinweis bei rechtswidrigen Weisungen

dida macht den Kunden unverzüglich darauf aufmerksam, wenn eine erteilte Weisung nach Auffassung von dida gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DS-GVO). dida ist berechtigt, die Durchführung der entsprechenden Weisung auszusetzen, bis sie durch den Kunden nach Überprüfung bestätigt oder geändert wird. Bestätigt der Kunde eine nach Auffassung von dida rechtswidrige Weisung, gilt Ziffer 11.4.

5.3 Zweckbindung, Trennung, Kopien

dida verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen, insbesondere nicht für eigene Zwecke.

Die für den Kunden verarbeiteten Daten werden von den Datenbeständen anderer Kunden und von eigenen Datenbeständen durch eine mandantenbezogene logische Trennung strikt getrennt; das Verfahren ist in Anlage 1 beschrieben.

Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen des Kunden nicht erstellt. Hiervon ausgenommen sind Sicherungskopien im Rahmen der in Anlage 1 beschriebenen Datensicherungsprozesse sowie die zur Gewährleistung der Verfügbarkeit erforderliche redundante Speicherung innerhalb des in Ziffer 1.2 bezeichneten Gebiets.

5.4 Dokumentation der Verarbeitung

dida führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DS-GVO und stellt dem Kunden die ihn betreffenden Auszüge auf Anfrage zur Verfügung.

Die Prüf-, Korrektur- und Freigabeschritte im Data Studio werden revisionssicher protokolliert. Zugriffe auf personenbezogene Daten werden protokolliert; die Protokolle werden ⟨90⟩ Tage aufbewahrt und sind dem Kunden im Rahmen von Ziffer 5.9 zugänglich.

5.5 Unterstützung bei Betroffenenrechten

dida unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen nach Art. 12 bis 22 DS-GVO nachzukommen (Art. 28 Abs. 3 Satz 2 lit. e DS-GVO).

Die Unterstützung erfolgt vorrangig durch die im Data Studio bereitgestellten Funktionen zur Suche, zum Export, zur Berichtigung, zur Einschränkung und zur Löschung einzelner Datensätze. Soweit diese Funktionen nicht ausreichen, unterstützt dida den Kunden auf dessen Weisung im erforderlichen Umfang; Ziffer 10 bleibt unberührt.

Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder an betroffene Personen erteilt dida nur nach vorheriger Weisung oder Zustimmung des Kunden.

5.6 Berichtigung, Löschung, Einschränkung

dida berichtigt, löscht oder schränkt die Verarbeitung personenbezogener Daten aus dem Auftragsverhältnis ein, wenn der Kunde dies mittels Weisung verlangt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Der Kunde kann diese Maßnahmen im Rahmen der bereitgestellten Funktionen auch selbst vornehmen.

5.7 Unterstützung bei Sicherheit, Folgenabschätzung und Konsultation

dida unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der dida zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32 bis 36 DS-GVO genannten Pflichten (Art. 28 Abs. 3 Satz 2 lit. f DS-GVO), insbesondere bei der Datenschutz-Folgenabschätzung nach Art. 35 DS-GVO und der vorherigen Konsultation nach Art. 36 DS-GVO.

dida stellt dem Kunden hierfür die erforderlichen Angaben zu den eingesetzten Systemen, Verfahren und Schutzmaßnahmen zur Verfügung. Die dazu erforderlichen Angaben werden an die in Ziffer 4.1 benannte Stelle des Kunden übermittelt.

5.8 Mitwirkung bei der Nachweispflicht

dida stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DS-GVO niedergelegten Pflichten erforderlich sind (Art. 28 Abs. 3 Satz 2 lit. h Halbsatz 1 DS-GVO).

5.9 Kontrollen und Überprüfungen

dida ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Kunden oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu ihnen bei (Art. 28 Abs. 3 Satz 2 lit. h Halbsatz 2 DS-GVO). Es gilt folgende Ausgestaltung:

• Vorrangiger Nachweis. dida weist die Einhaltung der Pflichten aus diesem Vertrag vorrangig durch aktuelle Testate, Zertifizierungen oder Prüfberichte unabhängiger Dritter nach (siehe Anlage 3) sowie durch die Beantwortung eines schriftlichen Prüfkatalogs des Kunden. Die Beantwortung erfolgt innerhalb von 30 Tagen nach Zugang.
• Vor-Ort-Kontrolle. Genügen die Nachweise nicht, ist der Kunde berechtigt, selbst oder durch einen beauftragten Dritten eine Überprüfung vor Ort in den Geschäftsräumen von dida durchzuführen. Die Kontrolle erfolgt nach Ankündigung mit einer Frist von mindestens 30 Tagen, zu üblichen Geschäftszeiten und ohne unangemessene Störung des Betriebsablaufs.
• Häufigkeit. Vor-Ort-Kontrollen finden höchstens einmal je Kalenderjahr statt. Zusätzliche Kontrollen sind zulässig bei einer Verletzung des Schutzes personenbezogener Daten mit Bezug zu den Daten des Kunden, bei einer entsprechenden Anordnung einer Aufsichtsbehörde oder bei begründeten und dida mitgeteilten Anhaltspunkten für einen Verstoß gegen diesen Vertrag; die Ankündigungsfrist verkürzt sich in diesen Fällen auf 5 Werktage.
• Prüfer. Beauftragte Dritte dürfen keine Wettbewerber von dida sein und sind vor Beginn der Kontrolle zur Verschwiegenheit zu verpflichten. dida kann einen konkreten Prüfer aus wichtigem Grund ablehnen; der Kunde benennt in diesem Fall einen anderen Prüfer.
• Umfang. Das Kontrollrecht umfasst die Einholung von Auskünften, die Einsichtnahme in die den Kunden betreffenden Verarbeitungsprozesse und die zugehörige Dokumentation sowie Inspektionen der Räumlichkeiten und Systeme. Es umfasst nicht die Einsichtnahme in Daten anderer Kunden von dida, in Geschäftsgeheimnisse ohne Bezug zum Vertragsgegenstand oder in Räumlichkeiten Dritter, zu denen dida kein Zutrittsrecht hat.
• Kosten. Jede Partei trägt die ihr entstehenden Kosten selbst. Für den Aufwand von dida bei einer über einen Prüftag hinausgehenden Vor-Ort-Kontrolle sowie für jede zusätzliche Kontrolle, bei der sich der Verdacht nicht bestätigt, kann dida eine angemessene Vergütung nach Ziffer 10 verlangen.
• Aufsichtsbehörden. Kontrollrechte von Aufsichtsbehörden bleiben von den vorstehenden Einschränkungen unberührt.

5.10 Verpflichtung der Beschäftigten

dida macht die mit der Verarbeitung befassten Beschäftigten vor Aufnahme ihrer Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut und verpflichtet sie für die Zeit ihrer Tätigkeit wie auch nach deren Beendigung zur Vertraulichkeit (Art. 28 Abs. 3 Satz 2 lit. b, Art. 29, Art. 32 Abs. 4 DS-GVO). Die Verpflichtungserklärungen werden dokumentiert und sind dem Kunden im Rahmen von Ziffer 5.9 nachzuweisen. dida schult die Beschäftigten mindestens jährlich und überwacht die Einhaltung der datenschutzrechtlichen Vorschriften im eigenen Betrieb.

5.11 Vertraulichkeit

dida wahrt bei der auftragsgemäßen Verarbeitung die Vertraulichkeit der personenbezogenen Daten des Kunden. Diese Verpflichtung besteht auch nach Beendigung des Vertrages fort.

5.12 Besondere Geheimnisschutzregeln

dida beachtet die folgenden für diesen Auftrag relevanten, dem Kunden obliegenden Geheimnisschutzregeln: ⟨z. B. Bankgeheimnis, Sozialgeheimnis, Berufsgeheimnisse nach § 203 StGB — vom Kunden auszufüllen; falls keine: „keine“⟩

Unterliegt der Kunde einem Berufsgeheimnis nach § 203 StGB, verpflichtet dida die mit der Verarbeitung befassten Personen zusätzlich nach § 203 Abs. 4 StGB.

5.13 Mobiles Arbeiten

Eine Verarbeitung personenbezogener Daten des Kunden auf lokalen Endgeräten oder in Privatwohnungen findet nicht statt. Der Zugriff Beschäftigter von dida auf Produktivsysteme erfolgt ausschließlich über verwaltete, festplattenverschlüsselte Endgeräte unter Verwendung von Mehr-Faktor-Authentifizierung; ein lokales Speichern oder Ausdrucken von Kundendaten ist technisch und organisatorisch untersagt. Die Maßnahmen nach Art. 32 DS-GVO gelten unabhängig vom Arbeitsort.

5.14 Information über Verhaltensregeln und Zertifizierungen

dida informiert den Kunden unverzüglich über den Ausschluss von genehmigten Verhaltensregeln nach Art. 41 Abs. 4 DS-GVO und über den Widerruf einer Zertifizierung nach Art. 42 Abs. 7 DS-GVO.

Ziffer 6 — Mitteilungspflichten bei Störungen und Verletzungen des Schutzes personenbezogener Daten

6.1 Meldung

dida teilt dem Kunden unverzüglich mit:

• Verletzungen des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DS-GVO,
• den begründeten Verdacht auf eine solche Verletzung,
• erhebliche Störungen des Betriebsablaufs mit Bezug zur Sicherheit der Verarbeitung,
• Verstöße von dida oder der bei dida beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder gegen die Festlegungen dieses Vertrages,
• Maßnahmen von Aufsichtsbehörden, Strafverfolgungsbehörden oder Gerichten, die die Verarbeitung der Daten des Kunden betreffen, soweit eine Mitteilung rechtlich zulässig ist.

6.2 Frist und Kenntnisbegriff

Die Mitteilung nach Ziffer 6.1 lit. a und b erfolgt unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung.

Kenntnis liegt vor, sobald das Sicherheitsteam von dida oder die in Ziffer 4.2 benannten Weisungsempfänger hinreichende Anhaltspunkte für einen meldepflichtigen Sachverhalt haben. Die Kenntnis eines einzelnen Beschäftigten ohne Zuständigkeit für die Informationssicherheit begründet keine Kenntnis im Sinne dieser Vorschrift.

Ist der Sachverhalt bei Fristablauf noch nicht vollständig aufgeklärt, erfolgt eine Erstmeldung mit dem bis dahin bekannten Sachstand; die weiteren Informationen werden unverzüglich nachgereicht.

6.3 Inhalt der Meldung

Die Meldung enthält, soweit verfügbar: eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen und vorgeschlagenen Abhilfemaßnahmen sowie einen Ansprechpartner für Rückfragen.

6.4 Unterstützung und Sofortmaßnahmen

dida unterstützt den Kunden angemessen bei dessen Pflichten nach Art. 33 und 34 DS-GVO (Art. 28 Abs. 3 Satz 2 lit. f DS-GVO) und ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen.

6.5 Keine eigenständige Meldung

Meldungen nach Art. 33 oder 34 DS-GVO für den Kunden nimmt dida nur nach vorheriger Weisung nach Ziffer 3.2 vor. Eigene Meldepflichten von dida gegenüber Aufsichtsbehörden bleiben unberührt; dida informiert den Kunden vorab.

Ziffer 7 — Unterauftragsverhältnisse

7.1 Allgemeine Genehmigung

Der Kunde erteilt dida die allgemeine schriftliche Genehmigung im Sinne des Art. 28 Abs. 2 Satz 1 DS-GVO zur Hinzuziehung der in Anlage 2 namentlich mit Firma, Anschrift, Sitzland, Leistungsgegenstand und betroffenen Datenkategorien bezeichneten weiteren Auftragsverarbeiter.

Nicht als Unterauftragsverarbeiter gelten Nebenleistungen ohne bestimmungsgemäßen Zugriff auf personenbezogene Daten des Kunden, etwa Telekommunikationsleistungen, Post- und Transportdienste oder Reinigungsdienste. dida trifft auch insoweit angemessene Schutzmaßnahmen.

7.2 Auswahl und Vertragsgestaltung

dida wählt Unterauftragsverarbeiter unter besonderer Berücksichtigung der Eignung der von diesen getroffenen technischen und organisatorischen Maßnahmen im Sinne des Art. 32 DS-GVO sorgfältig aus und prüft sie vor Beauftragung. Die relevanten Prüfunterlagen werden dem Kunden auf Anfrage zur Verfügung gestellt.

dida schließt mit jedem Unterauftragsverarbeiter einen Vertrag in Textform (Art. 28 Abs. 4 und Abs. 9 DS-GVO), der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt, wie sie in diesem Vertrag festgelegt sind. Die Verantwortlichkeiten werden dabei so konkret abgegrenzt, dass die Zuständigkeiten von dida und des Unterauftragsverarbeiters — und bei mehreren Unterauftragsverarbeitern auch zwischen diesen — eindeutig bestimmt sind. Insbesondere wird sichergestellt, dass dem Kunden angemessene Überprüfungen und Inspektionen bei Unterauftragsverarbeitern nach Maßgabe der Ziffer 5.9 möglich sind.

Eine Weiterleitung von Daten an einen Unterauftragsverarbeiter erfolgt erst, wenn dieser die Verpflichtungen nach Art. 29 und Art. 32 Abs. 4 DS-GVO bezüglich seiner Beschäftigten erfüllt hat.

7.3 Überwachung

dida überprüft die Einhaltung der Pflichten der Unterauftragsverarbeiter mindestens jährlich, insbesondere durch Auswertung von deren Testaten, Zertifizierungen und Prüfberichten sowie durch Auswertung veröffentlichter Sicherheitsvorfälle. Das Ergebnis wird dokumentiert und dem Kunden auf Verlangen zugänglich gemacht.

7.4 Änderungen

dida informiert den Kunden über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung neuer oder die Ersetzung bisheriger Unterauftragsverarbeiter mindestens vier Wochen vor Wirksamwerden in Textform unter Angabe von Firma, Anschrift, Sitzland und Leistungsgegenstand (Art. 28 Abs. 2 Satz 2 DS-GVO). Auf Wunsch des Kunden erfolgt die Information zusätzlich über einen Benachrichtigungsdienst zu der unter ⟨URL der Subprozessorenliste⟩ geführten Liste.

Der Kunde kann der Änderung innerhalb von zwei Wochen nach Zugang der Information in Textform widersprechen. Der Widerspruch ist zu begründen und nur zulässig, wenn nachvollziehbare datenschutzrechtliche Gründe vorliegen, insbesondere unzureichende technische und organisatorische Maßnahmen des vorgesehenen Unterauftragsverarbeiters oder ein nicht hinreichend abgesicherter Drittlandbezug.

Widerspricht der Kunde fristgerecht und begründet, suchen die Parteien innerhalb von zwei Wochen eine einvernehmliche Lösung. Kommt eine solche nicht zustande, kann jede Partei den Hauptvertrag einschließlich dieses AVV zum geplanten Änderungszeitpunkt kündigen. Bis zur Kündigung erbringt dida die Leistung unverändert mit dem bisherigen Unterauftragsverarbeiter, soweit ihr dies zumutbar und möglich ist.

Erfolgt kein fristgerechter Widerspruch, gilt die Änderung als genehmigt. Hierauf weist dida in der Information nach Absatz 1 ausdrücklich hin.

7.5 Sofortmaßnahmen

Ist der Wechsel eines Unterauftragsverarbeiters zur Abwehr einer unmittelbaren Gefahr für die Sicherheit oder Verfügbarkeit der Verarbeitung unaufschiebbar — etwa bei einem Sicherheitsvorfall oder Ausfall beim bisherigen Unterauftragsverarbeiter —, darf dida den Wechsel ohne Einhaltung der Frist nach Ziffer 7.4 vornehmen. dida informiert den Kunden unverzüglich, spätestens innerhalb von drei Werktagen; das Widerspruchsrecht nach Ziffer 7.4 besteht sodann nachträglich fort.

7.6 Drittländer

Eine Beauftragung von Unterauftragsverarbeitern mit Sitz in einem Drittland oder mit Zugriffsmöglichkeit aus einem Drittland darf nur erfolgen, wenn die Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind. dida dokumentiert die herangezogene Garantie sowie ein Transfer Impact Assessment und stellt beides dem Kunden auf Anfrage zur Verfügung.

7.7 Haftung für Unterauftragsverarbeiter

Kommt ein Unterauftragsverarbeiter den ihm von dida auferlegten Datenschutzpflichten nicht nach, haftet dida dem Kunden gegenüber für die Einhaltung dieser Pflichten (Art. 28 Abs. 4 Satz 2 DS-GVO).

Ziffer 8 — Technische und organisatorische Maßnahmen (Art. 32 DS-GVO)

8.1 Angemessenes Schutzniveau

dida gewährleistet für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der betroffenen natürlichen Personen angemessenes Schutzniveau. Dabei werden die Schutzziele des Art. 32 Abs. 1 DS-GVO — Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste sowie die Fähigkeit zur raschen Wiederherstellung — in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitung so berücksichtigt, dass das Risiko durch geeignete technische und organisatorische Maßnahmen auf Dauer eingedämmt wird.

8.2 Methodik der Risikobewertung

Der Bewertung liegt eine Methodik zugrunde, die Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten betroffener Personen berücksichtigt; sie orientiert sich an ⟨BSI IT-Grundschutz / ISO/IEC 27005 / Standard-Datenschutzmodell — Zutreffendes wählen⟩. Die Methodik und die Ergebnisse der Bewertung sind in Anlage 3 beschrieben.

8.3 Maßnahmen

Die getroffenen technischen und organisatorischen Maßnahmen sind in Anlage 1 detailliert und unter Berücksichtigung der eingesetzten IT-Systeme und Verarbeitungsprozesse beschrieben. Anlage 1 ist verbindlicher Vertragsbestandteil.

8.4 Überprüfung und Evaluierung

dida führt bei gegebenem Anlass, mindestens aber jährlich, eine Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen durch (Art. 32 Abs. 1 lit. d DS-GVO). Das Verfahren ist in Anlage 3 beschrieben. Das Ergebnis wird dokumentiert und dem Kunden auf Verlangen in geeigneter Form mitgeteilt.

8.5 Nachweise

dida weist die Wirksamkeit der Maßnahmen durch die in Anlage 3 bezeichneten Testate, Zertifizierungen und Prüfberichte nach. Die Prüfunterlagen können vom Kunden nach Maßgabe der Ziffer 5.9 eingesehen werden.

8.6 Anpassung

Die Maßnahmen können im Laufe des Auftragsverhältnisses der technischen und organisatorischen Weiterentwicklung angepasst werden, dürfen aber das in Anlage 1 vereinbarte Schutzniveau nicht unterschreiten. Wesentliche Änderungen stimmt dida mit dem Kunden in Textform ab und teilt sie mindestens vier Wochen vorher mit. Genügen die Maßnahmen den Anforderungen des Kunden nicht mehr, benachrichtigt dida den Kunden unverzüglich.

Ziffer 9 — Pflichten nach Beendigung des Auftrags

9.1 Rückgabe oder Löschung

Nach Beendigung des Hauptvertrags löscht dida alle personenbezogenen Daten des Kunden oder gibt sie nach Wahl des Kunden zurück (Art. 28 Abs. 3 Satz 2 lit. g DS-GVO). Der Kunde teilt seine Wahl innerhalb von 30 Tagen nach Vertragsende mit; trifft er keine Wahl, erfolgt die Löschung.

9.2 Fristen

• Die Daten stehen dem Kunden nach Vertragsende für 30 Tage zum Selbstexport über das Data Studio und die Programmierschnittstelle zur Verfügung.
• Nach Ablauf dieser Frist bzw. nach erfolgter Rückgabe löscht dida die Daten aus den Produktivsystemen innerhalb von weiteren 30 Tagen.
• Während der Vertragslaufzeit gilt die vom Kunden im Data Studio konfigurierte Aufbewahrungsdauer. Ist keine konfiguriert, beträgt die Standard-Aufbewahrungsdauer ⟨90⟩ Tage ab Abschluss der Verarbeitung eines Dokuments.

9.3 Datensicherungen

Personenbezogene Daten in Sicherungskopien werden mit der Löschung aus den Produktivsystemen für jede weitere Verarbeitung gesperrt und mit dem Ablauf des regulären Sicherungszyklus, spätestens nach ⟨90⟩ Tagen ab dem Zeitpunkt der Löschung nach Ziffer 9.2 lit. b, endgültig gelöscht. Eine gezielte Einzellöschung aus Sicherungskopien ist technisch nicht möglich; dida stellt durch technische und organisatorische Maßnahmen sicher, dass gesperrte Daten ausschließlich im Fall einer Systemwiederherstellung verarbeitet und im Anschluss unverzüglich erneut gelöscht werden.

9.4 Gesetzliche Aufbewahrungspflichten

Von der Löschung ausgenommen sind Daten, für die dida gesetzlichen Aufbewahrungspflichten unterliegt, insbesondere nach § 147 AO und § 257 HGB. Diese Daten werden für die Dauer der Aufbewahrungspflicht gesperrt, ausschließlich zum Zweck der Erfüllung der jeweiligen Pflicht verarbeitet und nach deren Ablauf unverzüglich gelöscht.

9.5 Bestätigung

dida bestätigt dem Kunden die Löschung bzw. Rückgabe unter Angabe des Datums und des Umfangs in Textform. Die Bestätigung erstreckt sich auch auf die Unterauftragsverarbeiter.

Ziffer 10 — Vergütung

Die Leistungen von dida nach diesem Vertrag sind mit der im Hauptvertrag vereinbarten Vergütung abgegolten, soweit nachstehend nichts Abweichendes bestimmt ist.

Für Unterstützungsleistungen, die über das gesetzlich und vertraglich geschuldete Maß hinausgehen, kann dida eine angemessene Vergütung nach dem jeweils gültigen Stundensatz von ⟨…⟩ EUR zzgl. USt. verlangen. Dies betrifft insbesondere:

• die Unterstützung bei Anträgen betroffener Personen, soweit diese nicht über die bereitgestellten Selbstbedienungsfunktionen bearbeitet werden können und im Einzelfall einen Aufwand von mehr als zwei Stunden verursacht,
• den Aufwand bei Vor-Ort-Kontrollen nach Ziffer 5.9 lit. f,
• die Umsetzung individueller Weisungen, die von der vertraglich vereinbarten Leistung abweichen,
• die Unterstützung bei Datenschutz-Folgenabschätzungen, soweit sie über die Bereitstellung der standardisierten Unterlagen hinausgeht.

dida weist den Kunden vor Entstehung vergütungspflichtigen Aufwands darauf hin und holt dessen Zustimmung ein. Leistungen nach Ziffer 6 (Meldung von Verletzungen des Schutzes personenbezogener Daten) sind stets unentgeltlich.

Ziffer 11 — Haftung und Freistellung

11.1 Grundsatz

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DS-GVO. Im Verhältnis der Parteien untereinander gelten die Haftungsregelungen des Hauptvertrags, soweit nachstehend nichts Abweichendes bestimmt ist.

11.2 Innenverhältnis

Im Innenverhältnis tragen die Parteien den Schaden entsprechend ihrem jeweiligen Verantwortungsanteil (Art. 82 Abs. 5 DS-GVO). Hat eine Partei den Schaden in vollem Umfang ersetzt, kann sie von der anderen Partei den Anteil zurückfordern, der deren Verantwortungsanteil entspricht.

11.3 Freistellung des Kunden durch dida

dida stellt den Kunden von Ansprüchen Dritter und von Bußgeldern frei, die darauf beruhen, dass dida schuldhaft gegen ihre Pflichten aus diesem Vertrag, gegen die speziell den Auftragsverarbeitern auferlegten Pflichten der DS-GVO oder gegen rechtmäßige Weisungen des Kunden verstoßen hat.

11.4 Freistellung von dida durch den Kunden

Der Kunde stellt dida von Ansprüchen Dritter, Bußgeldern und angemessenen Rechtsverteidigungskosten frei, die darauf beruhen, dass

• für die Verarbeitung keine oder keine tragfähige Rechtsgrundlage bestand,
• der Kunde seine Informationspflichten nach Art. 13, 14 DS-GVO nicht erfüllt hat,
• dida eine Weisung des Kunden ausgeführt hat, die gegen datenschutzrechtliche Vorschriften verstößt, nachdem dida nach Ziffer 5.2 auf die Rechtswidrigkeit hingewiesen und der Kunde die Weisung gleichwohl bestätigt hat, oder
• der Kunde entgegen Ziffer 2.4 besondere Kategorien personenbezogener Daten oder Daten nach Art. 10 DS-GVO in die Leistung eingebracht hat.

11.5 Verfahren

Die freistellungsberechtigte Partei informiert die andere Partei unverzüglich über die Inanspruchnahme, gibt ihr Gelegenheit zur Stellungnahme und zur Übernahme der Rechtsverteidigung und trifft ohne deren Zustimmung kein Anerkenntnis und keinen Vergleich. Die Zustimmung darf nicht unbillig verweigert werden.

11.6 Versicherung

dida unterhält für die Dauer dieses Vertrages eine Versicherung gegen Vermögensschäden aus Datenschutzverstößen und Cyber-Risiken mit einer Deckungssumme von mindestens ⟨…⟩ EUR je Schadensfall und weist dies dem Kunden auf Anfrage nach.

Ziffer 12 — Sonstige Regelungen

12.1 Gefährdung der Daten

Werden die zu verarbeitenden personenbezogenen Daten des Kunden bei dida durch Maßnahmen Dritter — etwa durch Pfändung oder Beschlagnahme —, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet, verständigt dida den Kunden unverzüglich. dida weist die handelnden Dritten darauf hin, dass die Verfügungsbefugnis über die Daten ausschließlich beim Kunden liegt.

12.2 Zurückbehaltungsrecht

Die Einrede des Zurückbehaltungsrechts im Sinne des § 273 BGB wird hinsichtlich der für den Kunden verarbeiteten personenbezogenen Daten ausgeschlossen. Sonstige Rechte von dida bei Zahlungsverzug, insbesondere nach dem Hauptvertrag, bleiben unberührt.

12.3 Unterrichtung über behördliche Anfragen

Erhält dida eine Anordnung oder ein Auskunftsersuchen einer Behörde, das sich auf personenbezogene Daten des Kunden bezieht, informiert dida den Kunden unverzüglich, sofern dies rechtlich zulässig ist, prüft die Rechtmäßigkeit der Anordnung und legt, soweit vertretbar, Rechtsmittel ein. dida gibt keine Daten heraus, bevor die rechtliche Prüfung abgeschlossen ist, es sei denn, dies ist rechtlich zwingend.

Ziffer 13 — Schlussbestimmungen

13.1 Form

Änderungen und Ergänzungen dieses Vertrages einschließlich seiner Anlagen bedürfen der Textform oder eines dokumentierten elektronischen Formats (Art. 28 Abs. 9 DS-GVO). Dies gilt auch für die Abbedingung dieser Formklausel.

13.2 Änderungen durch dida

dida ist berechtigt, diesen Vertrag anzupassen, soweit dies aufgrund einer Änderung der Rechtslage, der Rechtsprechung, aufsichtsbehördlicher Vorgaben oder einer wesentlichen Änderung der Leistung erforderlich ist. dida teilt die Änderung dem Kunden mindestens sechs Wochen vor Wirksamwerden in Textform mit. Der Kunde kann innerhalb von vier Wochen nach Zugang widersprechen; widerspricht er, gilt Ziffer 7.4 Absatz 3 entsprechend. Widerspricht er nicht, gilt die Änderung als angenommen; hierauf weist dida in der Mitteilung ausdrücklich hin. Änderungen zum Nachteil des Kunden, die über das zur Herstellung der Rechtskonformität Erforderliche hinausgehen, bedürfen stets seiner ausdrücklichen Zustimmung.

13.3 Aufbewahrung von Dokumentationen

Vereinbarungen zu den technischen und organisatorischen Maßnahmen sowie Kontroll- und Prüfungsunterlagen — auch zu Unterauftragsverarbeitern — sind von beiden Parteien für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren.

13.4 Rangfolge

Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor. Bei Widersprüchen zwischen dem Vertragstext und den Anlagen geht der Vertragstext vor, soweit die Anlage nicht ausdrücklich eine abweichende Spezialregelung trifft.

13.5 Salvatorische Klausel

Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

13.6 Rechtswahl und Gerichtsstand

Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist der Sitz von dida, soweit der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist und im Hauptvertrag nichts Abweichendes vereinbart ist. Klagerechte betroffener Personen nach Art. 79 DS-GVO bleiben unberührt.

13.7 Anlagen

Bestandteil dieses Vertrages sind:

• Anlage 1 — Technische und organisatorische Maßnahmen nach Art. 32 DS-GVO
• Anlage 2 — Unterauftragsverarbeiter
• Anlage 3 — Risikobewertung, Überprüfungsverfahren und Nachweise

Unterschriften

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DS-GVO)

Die nachstehenden Maßnahmen stammen aus zwei Quellen. Unternehmensweit geltende Maßnahmen sind in der Information Security Policy und im Data Recovery Plan von dida festgelegt; sie sind hier ohne Klammern wiedergegeben. Angaben, die allein die Produktivumgebung von smartextract betreffen — Sicherungsintervalle, Wiederherstellungsziele, Mandantentrennung, Schlüsselverwaltung —, sind in ⟨spitzen Klammern⟩ gehalten und vor Verwendung durch die Systemadministration zu bestätigen. Der Data Recovery Plan von dida beschreibt die Wiederherstellung des betrieblichen NAS und ist auf die Produktivumgebung nicht übertragbar.

1. Vertraulichkeit

1.1 Zutrittskontrolle

• Der Betrieb erfolgt ausschließlich in zertifizierten Rechenzentren der in Anlage 2 genannten Betreiber (Zertifizierung mindestens ISO/IEC 27001).
• Beschäftigte von dida haben keinen physischen Zugang zu den Servern. Ein Zutritt zu den Rechenzentren ist weder vorgesehen noch möglich.
• Zutrittssicherung durch den Rechenzentrumsbetreiber: Mehrstufige Vereinzelungsanlagen, biometrische Zutrittskontrolle, Videoüberwachung, 24/7-Bewachung, dokumentierte Besucherverwaltung.
• Geschäftsräume von dida: Zutritt über ⟨elektronisches Schließsystem mit personalisierten Transpondern⟩, Besucher nur in Begleitung, Clean-Desk-Richtlinie.

1.2 Zugangskontrolle

• Persönliche, namentlich zugeordnete Benutzerkonten; Sammelkonten sind unzulässig.
• Mehr-Faktor-Authentifizierung für alle administrativen Zugänge sowie für alle Zugänge zu Produktivsystemen; für Kundenkonten im Data Studio optional aktivierbar und für Administratorrollen des Kunden erzwingbar.
• Unternehmensweit ist Mehr-Faktor-Authentifizierung für die Konten in Google Workspace verpflichtend; für die Linux-Arbeitsplätze befindet sich die Einführung in Umsetzung.
• Passwortrichtlinie: mindestens ⟨12⟩ Zeichen, Abgleich gegen bekannte Leak-Datenbanken, keine erzwungene periodische Änderung, Sperrung nach ⟨10⟩ Fehlversuchen. Orientierung an ⟨BSI TR-03107 / NIST SP 800-63B⟩.
• Automatische Sitzungsbeendigung nach ⟨30⟩ Minuten Inaktivität; automatische Bildschirmsperre auf Endgeräten nach ⟨10⟩ Minuten.
• Zugriff auf Produktivsysteme ausschließlich über festplattenverschlüsselte Endgeräte mit aktivem, automatisch aktualisiertem Schadsoftwareschutz (Microsoft Defender bzw. XProtect/Gatekeeper); ein Abschalten ist ohne Freigabe der Systemadministration nicht zulässig. Das Einbinden externer Datenträger ist auf privilegierte Nutzer beschränkt. Firmengeräte sind in einem Inventar erfasst, das bei jeder Neuzuweisung fortgeschrieben wird. ⟨Zusätzlicher Netzzugangsschutz für Produktivsysteme, etwa VPN oder Zero-Trust-Zugang: von der Systemadministration zu ergänzen⟩
• Verwaltung administrativer Zugangsdaten in Bitwarden (dida-eigene Collections, administrative Zugangsdaten in der IT-Admin-Collection); keine Ablage in Quellcode oder Konfigurationsdateien.

1.3 Zugriffskontrolle

• Rollenbasierte Berechtigungen bis auf Inbox- und Feldebene im Data Studio; der Kunde vergibt und entzieht Berechtigungen für seine Nutzer selbst.
• Strikte Trennung von Administrations- und Fachrollen; Vier-Augen-Prinzip bei Änderungen an Produktivsystemen.
• Berechtigungsvergabe nach dem Prinzip der geringsten Rechte und rollenbasiert; Überprüfung der Berechtigungen aller Benutzerkonten jährlich, der privilegierten Konten halbjährlich, jeweils durch die Systemadministration.
• Administrativer Zugriff von dida-Personal auf Kundendaten nur anlassbezogen zur Störungsbeseitigung, nach dokumentierter Freigabe, zeitlich befristet und vollständig protokolliert.
• Protokollierung aller Zugriffe auf personenbezogene Daten; Aufbewahrung der Protokolle ⟨90⟩ Tage; Protokolle sind gegen Veränderung geschützt.
• Entzug sämtlicher Berechtigungen am letzten Arbeitstag ausscheidender Beschäftigter; der Offboarding-Prozess ist dokumentiert und wird protokolliert. Wird eine Person von einem Projekt abgezogen, entzieht die Projektleitung den Zugriff unverzüglich.

1.4 Trennungskontrolle

• Mandantentrennung durch ⟨logische Trennung mit mandantenbezogenem Schlüssel auf Datenbank- und Objektspeicherebene; jede Abfrage wird serverseitig auf den Mandanten des authentifizierten Nutzers eingeschränkt⟩.
• Getrennte Systemumgebungen für Entwicklung, Test und Produktion. In Test- und Entwicklungsumgebungen werden keine personenbezogenen Produktivdaten verwendet; es kommen synthetische oder anonymisierte Datensätze zum Einsatz.
• Getrennte Verarbeitung der Daten verschiedener Kunden innerhalb der Verarbeitungspipeline; keine mandantenübergreifenden Auswertungen.

1.5 Pseudonymisierung und Verschlüsselung

• Transportverschlüsselung: TLS ⟨1.3⟩, mindestens TLS 1.2, mit als sicher geltenden Cipher Suites; HSTS aktiviert; unverschlüsselte Verbindungen werden abgewiesen.
• Verschlüsselung ruhender Daten: AES-256 auf Ebene ⟨der Objektspeicher, Datenbanken und Sicherungskopien⟩; Schlüsselverwaltung über ⟨…⟩ mit dokumentierter Schlüsselrotation alle ⟨12⟩ Monate.
• Verschlüsselung sämtlicher Endgeräte von Beschäftigten (Festplattenvollverschlüsselung).
• Übertragung an Unterauftragsverarbeiter ausschließlich verschlüsselt.

2. Integrität

2.1 Eingabekontrolle

• Revisionssichere Protokollierung aller Prüf-, Korrektur- und Freigabeschritte im Data Studio unter Angabe von Nutzer, Zeitstempel, altem und neuem Wert.
• Protokollierung von Anlegen, Ändern und Löschen von Benutzerkonten und Berechtigungen.
• Die Protokolle sind für den Kunden im Data Studio einsehbar und exportierbar.

2.2 Weitergabekontrolle

• Datenübergabe an Zielsysteme ausschließlich über verschlüsselte, vom Kunden konfigurierte Kanäle.
• Kein Versand personenbezogener Daten per unverschlüsselter E-Mail.
• Keine Verwendung physischer Datenträger; ein Datenträgertransport findet nicht statt.
• Sichere Löschung von Datenträgern: Vor Weitergabe, Neuzuweisung oder Aussonderung werden Speichermedien mit verifizierenden Verfahren unbrauchbar gemacht — Festplatten durch Überschreiben (shred), SSD und NVMe über die eingebaute Secure-Erase-Funktion, vollverschlüsselte Medien durch Vernichtung des Schlüssels. Ausgemusterte Datenträger werden geschreddert. Jeder Vorgang wird im Geräteinventar dokumentiert.
• Protokollierung von Exportvorgängen.

3. Verfügbarkeit und Belastbarkeit

3.1 Verfügbarkeitskontrolle

• Redundante Auslegung der Systeme innerhalb des in Ziffer 1.2 des Vertrages bezeichneten Gebiets.
• Datensicherung: Sicherungsintervall ⟨täglich, inkrementell; wöchentlich, vollständig⟩; Aufbewahrung der Sicherungen ⟨30 Tage⟩; getrennte Aufbewahrung von den Produktivsystemen; Sicherungen verschlüsselt.
• Wiederherstellungsziele: RPO ⟨24 Stunden⟩, RTO ⟨8 Stunden⟩.
• Überprüfung der Wiederherstellbarkeit durch dokumentierte Testwiederherstellung mindestens ⟨halbjährlich⟩.
• Unterbrechungsfreie Stromversorgung, Netzersatzanlage, Brandfrüherkennung und Löschanlage durch den Rechenzentrumsbetreiber.
• Schutz vor Überlastung und Angriffen durch ⟨Web Application Firewall, DDoS-Schutz, Rate Limiting⟩.

3.2 Rasche Wiederherstellbarkeit

• Dokumentierter Notfall- und Wiederanlaufplan (Business Continuity und Disaster Recovery), überprüft jährlich sowie nach jeder Änderung des Sicherungsaufbaus.
• Definierte Eskalationswege und Rufbereitschaft ⟨24/7⟩ für sicherheitsrelevante Vorfälle.

4. Verfahren zur regelmäßigen Überprüfung

4.1 Datenschutzmanagement

• Dokumentiertes Datenschutzmanagementsystem; Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DS-GVO.
• Verpflichtung aller Beschäftigten auf die Vertraulichkeit; Datenschutz- und Sicherheitsschulung bei Eintritt und sodann mindestens halbjährlich, verantwortet durch den Cybersecurity and Compliance Circle.
• Datenschutzbeauftragter: siehe Ziffer 4.3 des Vertrages.
• Richtlinien zu Passwörtern, Endgeräten, Zugriffsverwaltung, Incident Response und mobilem Arbeiten.
• Für überlassene Kundendaten legt die Projektleitung bei Erhalt einen Löschtermin fest; die Systemadministration führt die Löschung zu diesem Termin durch.

4.2 Vorfallreaktion

• Dokumentierter Incident-Response-Prozess mit definierten Rollen, Meldewegen und Eskalationsstufen.
• Zentrale Erfassung und Auswertung sicherheitsrelevanter Ereignisse sowie Alarmierung über Grafana.
• Einhaltung der Meldefrist nach Ziffer 6.2 des Vertrages durch Rufbereitschaft außerhalb der Geschäftszeiten.
• Nachbereitung jedes Vorfalls mit dokumentierter Ursachenanalyse und Maßnahmenverfolgung.

4.3 Sicherheitsüberprüfungen

• Penetrationstests durch einen unabhängigen Dritten mindestens ⟨jährlich⟩; Behebung festgestellter Schwachstellen nach dokumentierter Priorisierung.
• Automatisierte Schwachstellen- und Abhängigkeitsprüfung im Entwicklungsprozess (pip-audit in den CI/CD-Pipelines) bei jedem Durchlauf der Pipeline, mithin vor jeder Übernahme in die Produktivumgebung.
• Patch-Management: Einspielen sicherheitsrelevanter Aktualisierungen innerhalb von ⟨7 Tagen⟩ bei kritischer Einstufung, sonst innerhalb von ⟨30 Tagen⟩.
• Codeüberprüfung im Vier-Augen-Prinzip vor Übernahme in die Produktivumgebung.

4.4 Auftragskontrolle

• Verarbeitung ausschließlich auf dokumentierte Weisung; siehe Ziffer 3.2 und 5.1 des Vertrages.
• Sorgfältige Auswahl und mindestens jährliche Überprüfung der Unterauftragsverarbeiter; siehe Ziffer 7.2 und 7.3 des Vertrages.
• Keine Verwendung von Kundendaten zum Training oder zur Verbesserung von KI-Modellen; siehe Ziffer 1.3 des Vertrages.

Anlage 2 — Unterauftragsverarbeiter

Stand: ⟨TT.MM.JJJJ⟩. Die jeweils aktuelle Fassung ist abrufbar unter ⟨URL⟩.

Sämtliche unter Nr. 1 bis 3 genannten Verarbeitungen finden innerhalb der Europäischen Union statt. Damit ist die Zusage in Ziffer 1.2 für die Kernverarbeitung — Betrieb, Zeichenerkennung und Sprachmodell — vollständig erfüllt.

Ergänzende Hinweise

Zu Nr. 2 und 3 (Microsoft): Die Leistung nutzt zwei getrennte Microsoft-Gesellschaften. Die optische Zeichenerkennung erfolgt über Microsoft Ireland Operations Limited in Dublin, die Auswertung durch Sprachmodelle über Microsoft AB in Schweden im Rahmen des Azure OpenAI Service (Enterprise-Modell). Microsoft verwendet die übermittelten Inhalte in keinem der beiden Fälle zum Training seiner Modelle.

Der Azure OpenAI Service sieht in der Standardkonfiguration eine Missbrauchsüberwachung („Abuse Monitoring“) vor, in deren Rahmen Eingaben und Ausgaben in einem gesonderten Speicher abgelegt und bei Auffälligkeiten von autorisierten Beschäftigten von Microsoft eingesehen werden können. Für im EWR bereitgestellte Modelle sagt Microsoft zu, dass diese Prüfer im EWR ansässig sind.

• dida hat die eingeschränkte Missbrauchsüberwachung („Modified Abuse Monitoring“) beantragt und genehmigt bekommen; eine Speicherung und menschliche Prüfung findet nicht statt.
• Die Standard-Missbrauchsüberwachung ist aktiv; die vorstehend beschriebene Speicherung und mögliche Einsichtnahme findet statt.

Zu Nr. 4 (Monitoring): Für die Erfassung und Auswertung technischer Betriebsmeldungen wird Grafana eingesetzt. Wird Grafana auf der Infrastruktur nach Nr. 1 selbst betrieben, liegt keine Auftragsverarbeitung durch einen weiteren Anbieter vor und Nr. 4 entfällt ersatzlos. Wird dagegen Grafana Cloud genutzt, ist Grafana Labs Unterauftragsverarbeiter; da das Unternehmen seinen Sitz in den Vereinigten Staaten hat, ist in diesem Fall die Garantie nach Kapitel V DS-GVO zu benennen — Angemessenheitsbeschluss oder Standarddatenschutzklauseln nebst Transfer Impact Assessment — und der Umfang der übermittelten personenbezogenen Daten zu beschreiben. ⟨Zutreffende Variante wählen und die jeweils andere streichen.⟩

dida stellt durch Konfiguration sicher, dass an den Monitoring-Anbieter keine Dokumenteninhalte und keine extrahierten Feldwerte übermittelt werden. Personenbezogene Daten in Fehlermeldungen werden vor Übermittlung ⟨maskiert bzw. entfernt⟩.

Anlage 3 — Risikobewertung, Überprüfungsverfahren und Nachweise

Stand: ⟨TT.MM.JJJJ⟩

1. Methodik der Risikobewertung

dida bewertet die Risiken für die Rechte und Freiheiten betroffener Personen anhand von ⟨BSI IT-Grundschutz / ISO/IEC 27005 / Standard-Datenschutzmodell⟩. Bewertet werden Eintrittswahrscheinlichkeit und Schwere möglicher Schäden je Verarbeitungsschritt. Die Bewertung wird mindestens jährlich sowie anlassbezogen bei wesentlichen Änderungen der Verarbeitung aktualisiert.

Als erhöht risikobehaftet eingestuft und mit gesonderten Maßnahmen unterlegt sind:

2. Verfahren zur Überprüfung, Bewertung und Evaluierung

3. Nachweise

• Zertifizierung nach ISO/IEC 27001, ausgestellt am ⟨…⟩ durch ⟨Zertifizierungsstelle⟩, gültig bis ⟨…⟩.
• SOC 2 Type II Bericht, Berichtszeitraum ⟨…⟩, erstellt durch ⟨Prüfer⟩.
• Zertifizierung nach Art. 42 DS-GVO ⟨…⟩.
• Derzeit liegt keine Zertifizierung durch eine unabhängige Stelle vor. dida führt die Überprüfung nach Abschnitt 2 intern durch und stellt dem Kunden den Prüfbericht auf Verlangen zur Verfügung. ⟨Angestrebt ist eine Zertifizierung bis ⟨…⟩.⟩

Zertifikate und Prüfberichte der Unterauftragsverarbeiter werden dem Kunden auf Anfrage zur Verfügung gestellt.