Vereinbarung über Auftragsverarbeitung (AVV)

für die Nutzung des Cloud-Dienstes „PortiQ start“ gemäß Art. 28 DSGVO

Parteien

Auftraggeber: der Kunde, der PortiQ start nutzt (nachfolgend „Auftraggeber“) – im Online-Bestellprozess bzw. im Kundenkonto mit seinen Daten benannt.

Auftragnehmer: SecCommerce Informationssysteme GmbH, Otto-Wels-Straße 49, 22297 Hamburg – Deutschland (nachfolgend „SecCommerce“ oder „Auftragnehmer“).

Präambel

Die Parteien haben eine Vereinbarung über die Erbringung von Leistungen durch den Auftragnehmer abgeschlossen. Bei der Erbringung seiner Leistungen verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers; zumindest kann dies nicht ausgeschlossen werden. Mit diesem Vertrag über die Auftragsverarbeitung wollen die Parteien die rechtliche Grundlage für die Datenverarbeitung durch den Auftragnehmer schaffen und insbesondere die Pflichten des Auftragnehmers in diesem Zusammenhang konkretisieren.

§ 1 Vertragsgegenstand

1.1 Zwischen den Parteien besteht ein Vertrag über die Nutzung des Cloud-Dienstes PortiQ start (nachfolgend „Leistungsvereinbarung“).

1.2 Im Rahmen der Durchführung der Leistungsvereinbarung verarbeitet der Auftragnehmer personenbezogene Daten für den Auftraggeber. Dabei handelt es sich um eine Datenverarbeitung im Auftrag gemäß Art. 28 DSGVO.

1.3 Die Art der Verarbeitung von Daten, die Art der betroffenen personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus dem Anhang A. Dort finden sich auch Informationen zum Gegenstand des Auftrags sowie zum Zweck der Verarbeitung.

1.4 Die weiteren Einzelheiten der Rechte und Pflichten beider Parteien im Rahmen einer Auftragsverarbeitung regelt dieser Vertrag.

§ 2 Begriffsbestimmungen

2.1 Datenschutz-Grundverordnung („DSGVO“) bezeichnet die Verordnung (EU) 
 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum 
 Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, 
 zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG unter 
 Einbeziehung der am 19. April 2018 von der EU veröffentlichten Korrekturen 
 zur Datenschutz-Grundverordnung. Für verwendete Begriffe, für die Art. 4 
 DSGVO eine Begriffsbestimmung vorsieht, gilt diese gesetzliche Definition in 
 der im Zeitpunkt des Vertragsschlusses geltenden Fassung.

2.2 Besonders schutzwürdige personenbezogene Daten sind einerseits besondere 
 Kategorien personenbezogener Daten gemäß Art. 9 DSGVO, aus denen die 
 rassische und ethnische Herkunft, politische Meinung, religiöse oder 
 weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit von 
 Betroffenen hervorgehen, genetische Daten gemäß Art. 4 Abs. 13 DSGVO, 
 biometrische Daten gemäß Art. 4 Abs. 14 DSGVO, Gesundheitsdaten gemäß 
 Art. 4 Abs. 15 DSGVO sowie Daten zum Sexualleben oder der sexuellen 
 Orientierung einer natürlichen Person. Umfasst sind ebenfalls 
 personenbezogene Daten gemäß Art. 10 DSGVO über strafrechtliche
Verurteilungen und Straftaten oder damit zusammenhängende 
 Sicherungsmaßregeln.

§ 3 Rechte, Pflichten und Weisungsbefugnisse des Auftraggebers

3.1 Für die Beurteilung der Zulässigkeit der Verarbeitung, insbesondere gemäß 
 Art. 6 Abs. 1 DSGVO sowie für die Wahrung der Rechte der betroffenen 
 Personen nach den Art. 12 bis 22 DSGVO ist der Verantwortliche für die 
 Datenverarbeitung zuständig. Gleichwohl ist der Auftragnehmer verpflichtet, 
 alle Anfragen, sofern sie erkennbar ausschließlich an den Auftraggeber 
 gerichtet sind oder eine datenschutzrechtliche Verpflichtung des 
 Auftraggebers betreffen, unverzüglich an diesen weiterzuleiten.

3.2 Änderungen des Verarbeitungsgegenstands und Änderungen der Verfahren 
 der Verarbeitung sind gemeinsam zwischen Auftraggeber und 
 Auftragnehmer abzustimmen und schriftlich oder in einem dokumentierten 
 elektronischen Format (beispielsweise E-Mail), unter Berücksichtigung der 
 Leistungsvereinbarung, festzulegen.

3.3 Der Auftraggeber erteilt alle Aufträge, Teilaufträge und Weisungen schriftlich 
 oder in einem dokumentierten elektronischen Format. Mündliche Weisungen 
 sind gültig; der Auftraggeber wird sich bemühen, diese innerhalb 
 angemessener Frist schriftlich oder in einem dokumentierten elektronischen 
 Format zu bestätigen.

3.4 Der Auftraggeber ist berechtigt, sich vor Beginn der Tätigkeit des 
 Auftragnehmers und dann in regelmäßigen Abständen in angemessener 
 Weise von der Einhaltung der beim Auftragnehmer getroffenen technischen 
 organisatorischen Maßnahmen sowie der in diesem Vertrag festgelegten 
 Verpflichtungen zu überzeugen. Der Auftragnehmer wird bei Überprüfungen 
 (Audits) in dem erforderlichen Umfang mitwirken. Der Auftragnehmer ist 
 auch damit einverstanden, dass der Auftraggeber Dritte mit der Überprüfung 
 (Audits) beauftragt.

3.5 Der Auftraggeber wird sich bemühen, den Auftragnehmer in angemessener 
 Zeit zu informieren, wenn sie Fehler oder Unregelmäßigkeiten bei einer 
 etwaigen Überprüfung der Auftragsergebnisse erkennt.

§ 4 Weisungsberechtigte / Weisungsempfänger; Verstoß gegen gesetzliche Vorschriften

4.1 Weisungsberechtigt beim Auftraggeber sind die im Online-Bestellprozess bzw. im Kundenkonto hinterlegten vertretungsberechtigten Personen des Auftraggebers.

4.2 Weisungsempfänger beim Auftragnehmer: Falk Goossens; Telefon: +49 (40) 53052-0; E-Mail: datenschutz@seccommerce.com.

4.3 Bei einem Wechsel oder einer längerfristigen Verhinderung der Weisungsberechtigten sind der anderen Partei unverzüglich und schriftlich oder in einem dokumentierten elektronischen Format die Nachfolger bzw. Vertreter mitzuteilen.

4.4 Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung nach seiner Ansicht gegen gesetzliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung so lange auszusetzen, bis durch den Auftraggeber die Gültigkeit der Weisung bestätigt oder die Weisung geändert wird.

§ 5 Pflichten des Auftragnehmers

5.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im 
 Rahmen der getroffenen vertraglichen Vereinbarungen und nach den 
 Weisungen des Auftraggebers, sofern er nicht durch das Recht der 
 Europäischen Union oder durch sein Heimatrecht zu einer anderen 
 Verarbeitung verpflichtet ist (beispielsweise bei Ermittlungen von 
 Strafverfolgungs- oder Staatsschutzbehörden); in einem solchen Fall teilt der 
 Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der 
 Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht 
 wegen eines wichtigen öffentlichen Interesses verbietet 
 (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).

5.2 Der Auftragnehmer verwendet die zur Verarbeitung überlassenen 
 personenbezogenen Daten für keine anderen, insbesondere nicht für eigene 
 Zwecke. Kopien oder Duplikate der personenbezogenen Daten werden ohne 
 Wissen des Auftraggebers nicht erstellt, sofern dies nicht zur Erbringung der 
 Leistungen des Auftragnehmers nach der Leistungsvereinbarung erforderlich 
 ist.

5.3 Der Auftragnehmer sichert zu, dass die für den Aufftraggeber verarbeiteten 
 Daten von sonstigen Datenbeständen strikt getrennt werden. Dies gilt auch 
 für den Eingang und Ausgang von Daten, auch auf Datenträgern.

5.4 Bei der Erfüllung der Rechte von betroffenen Personen nach den Art. 12 bis 22 
 DSGVO durch den Auftraggeber, bei der Erstellung der Verzeichnisse von 
 Verarbeitungstätigkeiten gemäß Art. 30 DSGVO sowie bei ggf. erforderlichen 
 Datenschutz-Folgeabschätzungen des Auftraggebers gemäß Art. 35 DSGVO 
 und der Einhaltung der in den Artikeln 32 und 36 DSGVO genannten Pflichten 
 des Auftraggebers hat der Auftragnehmer im erforderlichen Umfang 
 mitzuwirken und den Auftraggeber so weit wie möglich angemessen zu 
 unterstützen (Art. 28 Abs. 3 Satz 2 lit. e und f DSGVO). Der Auftragnehmer hat 
 die hierzu erforderlichen Angaben jeweils auf Anforderung unverzüglich an 
 den Weisungsberechtigten des Auftraggebers gemäß § 4.1 dieses Vertrags 
 weiterzuleiten.

5.5 Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis darf der 
 Auftragnehmer nur nach vorheriger Weisung oder Zustimmung durch den 
 Auftraggeber gegenüber Dritten oder dem Betroffenen gegenüber erteilen. 
 Dies gilt entsprechend für jegliche Wahrnehmung von Rechten betroffener 
 Personen, beispielsweise die Berichtigung und Löschung von Daten, beim 
 Auftragnehmer.

5.6 Der Auftragnehmer teilt dem Auftraggeber unverzüglich Störungen, Verstöße 
 des Auftragnehmers oder der bei ihm beschäftigten Personen gegen 
 datenschutzrechtliche Bestimmungen der einschlägigen Gesetze, nach 
 diesem Vertrag oder der Leistungsvereinbarung sowie bereits den Verdacht 
 auf solche Verstöße schriftlich oder in elektronisch dokumentierter Form mit. 
 Dies gilt insbesondere im Hinblick auf evtl. Melde- und Benachrichtigungs-
 pflichten des Auftraggebers nach Art. 33 und Art. 34 DSGVO. Der 
 Auftragnehmer sichert zu, den Auftraggeber erforderlichenfalls bei der 
 Erfüllung ihrer Pflichten gemäß Art. 33 und Art. 34 DSGVO unverzüglich und in zumutbarem Umfang zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DSGVO). 
 Meldungen nach Art. 33 oder Art. 34 DSGVO für den Auftraggeber darf der 
 Auftragnehmer nur nach vorheriger Weisung von einem 
 Weisungsberechtigten gemäß § 4 dieses Vertrags durchführen.

§ 6 Weitere datenschutzrechtliche Maßnahmen beim Auftragnehmer, Homeoffice

6.1 Beim Auftragnehmer ist als Datenschutzbeauftragter bestellt: Falk Goossens; Telefon: +49 (40) 53052-0; E-Mail: 6.1 Beim Auftragnehmer ist folgende Person als Datenschutzbeauftragte(r) 
 bestellt:
Falk Goossens; Telefon: +49 (40) 53052-0; 
 E-Mail: datenschutz@seccommerce.com
Einen Wechsel des Datenschutzbeauftragten ist dem Auftraggeber 
 unverzüglich mitzuteilen.

6.2 Der Auftragnehmer führt ein Verzeichnis von Verarbeitungstätigkeiten gemäß 
 Art. 30 Abs. 2 DSGVO.

6.3 Der Auftragnehmer bestätigt, dass ihm die für die Auftragsverarbeitung 
 einschlägigen datenschutzrechtlichen Vorschriften der DSGVO und des BDSG 
 bekannt sind.

6.4 Einer Verarbeitung personenbezogener Daten außerhalb der Betriebsräume 
 des Auftragnehmers (Standard-Mobilarbeitsplätze, z.B. Telearbeit, Heimarbeit, 
 Homeoffice, mobiles Arbeiten) wird unter folgenden Bedingungen 
 zugestimmt:
• Die Standard-Mobilarbeitsplätze werden im Rahmen eines vom 
 Auftragnehmer intern freigegebenen Datenschutzkonzeptes betrieben. Die 
 Mitarbeitenden des Auftragnehmers sind sowohl mit technischem Equipment 
 als auch mit entsprechenden Handlungsanweisungen ausgestattet.
• Es findet außerhalb der Betriebsräume keine lokale Verarbeitung von Daten 
 auf dem Arbeitsplatz-PC statt.
• Der Zugriff auf die Administrationsumgebung des Auftragnehmers erfolgt 
 gesichert über VPN u. ä. Der Zugriff und die Verarbeitung personenbezogener 
 Daten erfolgt im Rahmen und unter Weisungslage der Auftraggebers bzw. des 
 Verantwortlichen.

Bei der Verarbeitung personenbezogener Daten, deren Schutzbedarf in Anlehnung an das Standard-Datenschutzmodell oder BSI IT-Grundschutz entsprechend hoch eingestuft ist, sind Telearbeit und mobiles Arbeiten nicht zulässig.
Die Auftragsverarbeitung erfolgt gemäß § 7 dieser Vereinbarung im Grundsatz in der Europäischen Union bzw. innerhalb des Europäischen Wirtschaftsraums. Dies schließt (Fern-)Wartung und sonstige Fernzugriffe im Rahmen der Auftragsverarbeitung mit ein.



6.5 Der Auftragnehmer sichert zu, dass er die bei der Durchführung von 
 Datenverarbeitungen nach der Leistungsvereinbarung und nach diesem 
 Vertrag beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie 
 maßgebenden Bestimmungen des Datenschutzes vertraut gemacht und für 
 die Zeit ihrer Tätigkeit wie auch nach der Beendigung des 
 Beschäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit 
 verpflichtet hat (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DSGVO). Der 
 Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen 
 Vorschriften in seinem Verantwortungsbereich.

6.6 Der Auftragnehmer sichert zu, jederzeit mit der Aufsichtsbehörde, soweit dies 
 zur Durchführung der Leistungsvereinbarung oder dieses Vertrags gehört, zu 
 kooperieren.

§ 7 Datenverarbeitung in und außerhalb der Europäischen Union / des Europäischen Wirtschaftsraums

7.1 Die Datenverarbeitung nach Maßgabe der Leistungsvereinbarung und dieses 
 Vertrags wird ausschließlich in einem Mitgliedsstaat der Europäischen Union 
 oder in einem Vertragsstaat des Abkommens über den Europäischen 
 Wirtschaftsraum erbracht.

7.2 Jede Verlagerung von Verarbeitungsvorgängen oder von Teilarbeiten hierzu in 
 ein Drittland darf nur erfolgen, wenn die besonderen Voraussetzungen der 
 Art. 44 ff. DSGVO erfüllt sind (beispielsweise Angemessenheitsbeschluss der 
 Europäischen Kommission, Standarddatenschutzklauseln oder genehmigte 
 Verhaltensregeln etc.) und die schriftliche oder elektronisch dokumentierte 
 vorherige Zustimmung des Auftraggebers vorliegt.

7.3 Sind die aktuellen Standardvertragsklauseln der EU-Kommission – vgl. den 
 Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 über 
 Standardvertragsklauseln für die Übermittlung personenbezogener Daten an 
 Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen 
 Parlaments und des Rates (Text von Bedeutung für den EWR) – als 
 Transferinstrument für die Übermittlung personenbezogener Daten an einen 
 unsicheren Drittstaat vorgesehen, sind diese vom Auftragnehmer als weiteren 
 Anhang zu dieser Vereinbarung anzufügen, wenn er die personenbezogenen 
 Daten exportiert. Der Auftragnehmer bestimmt das jeweilige Modul sowie ggf. 
 weitere zusätzliche Maßnahmen, die ein angemessenes Datenschutzniveau 
 sicherstellen sollen und stimmt diese mit dem Auftraggeber ab.

7.4 Der Auftragnehmer stellt dem Auftraggeber unverzüglich alle notwendigen 
 Informationen bereit, damit der Auftraggeber bzw. der Verantwortliche für die 
 Verarbeitung personenbezogener Daten die Rechtmäßigkeit der 
 Übermittlung personenbezogener Daten an einen unsicheren Drittstaat 
 überprüfen kann.

§ 8 Unterauftragsverhältnisse

(1) Der Einsatz von Subunternehmern als weiteren Auftragsverarbeiter ist nur zulässig, wenn der Auftraggeber vorher zugestimmt hat.

(2) Ein zustimmungspflichtiges Subunternehmerverhältnis liegt vor, wenn der Auftragnehmer weitere Auftragnehmer mit der ganzen oder einer Teilleistung der im Vertrag vereinbarten Leistung beauftragt. Der Auftragnehmer wird mit diesen Dritten im erforderlichen Umfang Vereinbarungen treffen, um angemessene Datenschutz- und Informationssicherheitsmaßnahmen zu gewährleisten.
Der Auftraggeber stimmt zu, dass der Auftragnehmer Subunternehmer hinzuzieht. Vor Hinzuziehung oder Ersetzung der Subunternehmer informiert der Auftragnehmer den Auftraggeber (ggf. Frist und/oder Regelung für Notfallsituationen) . Der Auftraggeber kann der Änderung – innerhalb einer angemessenen Frist – aus wichtigem Grund – gegenüber der vom Auftraggeber bezeichneten Stelle widersprechen. Erfolgt kein Widerspruch innerhalb der Frist gilt die Zustimmung zur Änderung als gegeben. Liegt ein wichtiger datenschutzrechtlicher Grund vor, und sofern eine einvernehmliche Lösungsfindung zwischen den Parteien nicht möglich ist, wird dem Auftraggeber ein Sonderkündigungsrecht eingeräumt (als Option) .

(3) Erteilt der Auftragnehmer Aufträge an Subunternehmer, so obliegt es dem Auftragnehmer, seine datenschutzrechtlichen Pflichten aus diesem Vertrag dem Subunternehmer zu übertragen.

§ 9 Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

9.1 Der Auftragnehmer gewährleistet ein für die Datenverarbeitung nach 
 Maßnahme der Leistungsvereinbarung angemessenes Schutzniveau nach 
 Maßgabe von Art. 32 Abs. 1 DSGVO, vgl. Art. 28 Abs. 3 Satz 2 lit. c DSGVO. Die 
 konkreten technischen und organisatorischen Maßnahmen ergeben sich aus 
 dem Anhang C zu diesem Vertrag.

9.2 Der Auftragnehmer sichert zu, dass die in Anhang C aufgezeichneten 
 Maßnahmen angemessen und wirksam sind und jederzeit aufrechterhalten
 werden. Änderungen dieser Maßnahmen stellen eine Änderung dieses 
 Vertrages dar und sind nur unter Einhaltung der entsprechenden 
 Anforderungen zulässig.

9.3 Die Maßnahmen sind während der Dauer dieses Vertrags an die geltenden 
 rechtlichen Vorgaben und den Stand der Technik anzupassen. Der 
 Auftragnehmer aktualisiert den Anhang C entsprechend und teilt dem 
 Auftraggeber auf diese Weise die Änderungen mit.

9.4 Haben ein oder mehrere Nutzer des Auftraggebers den Typ „Tenant Administrator“, so sind diese unter anderem verantwortlich für die Verwaltung der Benutzer des Auftraggebers innerhalb des Tenants und unterschiedlicher Einstellungen wie bspw. dem Customizing und dem aktivieren von API-Zugängen.


§ 10 Haftung des Auftragnehmers

Auftraggeber und Auftragnehmer haften gegenüber betroffenen Personen entsprechend der in Art. 82 DSGVO getroffenen Regelung.

§ 11 Dauer und Beendigung dieses Vertrags

11.1 Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit der Leistungsvereinbarung.

§ 12 Datenlöschung

Der Auftragnehmer löscht sämtliche vom Auftraggeber gespeicherten personenbezogenen Daten spätestens 12 Monate nach Vertragsbeendigung, sofern keine gesetzlichen Aufbewahrungsfristen bestehen. Der Auftraggeber hat jederzeit die Möglichkeit, Daten bereits vorher selbstständig zu löschen.

§ 13 Schlussbestimmungen

13.1 Änderungen und Ergänzungen dieses Vertrags und seiner Anhänge bedürfen der Schriftform. Dies gilt auch für die Aufhebung dieses Schriftformerfordernisses.

13.2 Gerichtsstand für sämtliche Streitigkeiten zwischen den Parteien aus oder im Zusammenhang mit diesem Vertrag ist Hamburg.

13.3 Sollten einzelne Regelungen dieses Vertrags unwirksam oder undurchführbar sein oder werden, wird die Wirksamkeit der übrigen Regelungen davon nicht berührt. An die Stelle der unwirksamen oder undurchführbaren Regelung tritt diejenige wirksame und durchführbare Regelung, die dem mit dieser Vereinbarung verfolgten datenschutzrechtlichen und wirtschaftlichen Zweck am nächsten kommt. Die vorstehenden Bestimmungen gelten entsprechend für den Fall, dass sich dieser Vertrag als lückenhaft erweist.

---

Anhang A – Kategorien von Daten und Betroffene

Gegenstand des Auftrags

Der Auftragnehmer betreibt eine Signaturlösung als Software as a Service. Die Signaturlösung ist eine Anwendung, mit der in Verbindung mit den Vertrauensdiensten der D-Trust digitale Signaturen und Siegel im Rahmen eines Workflows oder auch direkt zur Verfügung gestellt werden können.

Art und Zweck der Verarbeitung

Zweck der Verarbeitung:

• Betrieb und Verwaltung des Signaturservers (insbesondere Nutzerverwaltung, Updates & Aktualisierungen sowie Organisation des Hostings im externen Rechenzentrum), der für mehrere Endkunden der D-Trust betrieben wird.
• Technische Trennung der einzelnen Endkundensichten der D-Trust (Mandantentrennung).
• Versand von Einmal-Login-Codes (OTP) per websms, sofern SMS-TOTP genutzt wird.
• Support für Nutzer des Auftraggebers sowie Nutzer von Endkunden des Auftraggebers.
• Abrechnung an den Auftraggeber.

Betroffene Personen

• Nutzer und ehemalige Nutzer des Auftraggebers und von Endkunden des Auftraggebers, die Nutzer des Signaturservers sind oder waren.
• Technische Ansprechpartner und Nutzer des Auftraggebers sowie seiner Endkunden im Supportfall.
• Dritte, deren Daten in den zu signierenden Daten bzw. auf den zu signierenden Dokumenten enthalten sind.

Art der verarbeiteten Daten

Es werden die Daten verarbeitet, die der Auftraggeber oder Endkunden des Auftraggebers dem Auftragnehmer zum Betrieb und der Verwaltung des Signaturservers sowie im jeweiligen Supportfall zur Verfügung stellen. Auftraggeber bzw. Endkunden des Auftraggebers und Auftragnehmer stimmen sich jeweils ab, welche Daten dafür notwendig sind, und beschränken sich auf das Notwendige zur Lösung des konkreten Problems. Unter anderem können dies sein:

• Zertifikatsdaten
• Kontaktinformationen (E-Mail, Telefon)
• Logfiles
• Statusinformationen per E-Mail
• IP-Adresse des Clients
• Ausnahmsweise, wenn das Problem vom Auftragnehmer nicht anders reproduziert werden kann: zu signierende Daten
• Unterschriftsbefugnisse
• Rollen
• Organisationszugehörigkeiten

Verarbeitung besonders schutzwürdiger personenbezogener Daten

Es werden die Daten verarbeitet, die der Auftraggeber bzw. Endkunden des Auftraggebers bzw. deren Nutzer in der Webseite hochladen, die vom Signaturserver bereitgestellt wird. Um welche Art von Daten es sich handelt, entscheidet jeweils der Auftraggeber bzw. Endkunden des Auftraggebers allein.

---

Anhang B – Liste der beauftragten Subunternehmer

Im Rahmen des Vertrags über die Auftragsverarbeitung setzt der Auftragnehmer folgende Subunternehmer / Unterauftragnehmer zur Erfüllung seiner Pflichten ein:

• Schwarz Digits Cloud GmbH & Co. KG (STACKIT), Am Campus 1, 74177 Bad Friedrichshall, Deutschland – Teilleistung: Bereitstellung und Betrieb der Cloud-Infrastruktur (IaaS) für den Betrieb des Signaturportals – Ort der Leistungserbringung: Deutschland (EU)
• LINK Mobility Austria GmbH, Brauquartier 5/13, 8055 Graz, Österreich – Teilleistung: Der Signaturserver kann Einmal-Login-Codes (OTP) per SMS versenden. Dafür nutzt er den Anbieter websms. – Ort der Leistungserbringung: EU / EWR.

---

Anhang C1 (SecCommerce) – Technische und organisatorische Maßnahmen

gem. Art. 32, 28 Abs. 3 Satz 2 lit. c DSGVO – Nutzerverwaltung, Updates und Aktualisierungen durch SecCommerce.

§ 1 Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle: Maßnahmen, damit Unbefugten der Zutritt zu den 
 Datenverarbeitungsanlagen verwehrt wird, mit denen personenbezogene 
 Daten verarbeitet werden:

• Schlüssel zum Büro nur für Mitarbeiter der SecCommerce Informationssysteme GmbH.
• Schlüssel zu Serverräumen nur für diejenigen Mitarbeiter, die den Zugang benötigen.
• Alarmanlage.
• Protokollierung und Begleitung von Besuchern.

1.2 Zugangskontrolle: Maßnahmen, die verhindern, dass Unbefugte die Datenverarbeitungsanlagen 
 benutzen:

• Computer der Mitarbeiter haben ein sicheres Passwort.
• Mitarbeiter installieren Sicherheitsupdates unverzüglich.
• Computer der Mitarbeiter sperren sich bei Inaktivität automatisch.
• Source-Codes befinden sich auf den Mitarbeitercomputern auf einer verschlüsselten Partition.
• Login auf Servern verschlüsselt mit SSH und nur für diejenigen Mitarbeiter, die den Zugang benötigen.
• Sicherheitsschloss für die Bürotür.
• Einsatz von Zwei-Faktor-Authentifizierung für einige Systeme.
• Einsatz von Firewalls.

1.3 Zugriffskontrolle: Maßnahmen, die gewährleisten, dass die zur Benutzung der 
 Datenverarbeitungsanlagen Befugten ausschließlich auf die ihrer 
 Zugriffsberechtigung unterliegenden personenbezogenen Daten zugreifen 
 können:

• Zugriff auf alle Systeme erhalten nur die Mitarbeiter, die ihn benötigen.
• Auf den Systemen werden Zugriffsrechte für Nutzergruppen vergeben, so dass nur die Mitarbeiter, die den Zugriff auf bestimmte Daten benötigen, ihn erhalten.
• Beschränkung der Anzahl der Systemadministratoren auf ein notwendiges Minimum.

1.4 Trennungskontrolle: Maßnahmen, die gewährleisten, dass Daten, die zu unterschiedlichen 
 Zwecken erhoben wurden, auch getrennt verarbeitet werden:

• Trennung zwischen Entwicklungs-, Test- und Produktivsystemen.
• Für jedes produktive System steht ein Testsystem zur Verfügung.
• Entwickler nutzen für Tests wo möglich Testdaten und keine echten Daten aus produktiven Kundensystemen. Sollten echte Kundendaten im Ausnahmefall benötigt werden, werden diese getrennt von den Testdaten gespeichert und nach dem Test gelöscht.

§ 2 Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle: Maßnahmen, die gewährleisten, dass personenbezogene Daten nicht 
 unbefugt gelesen, kopiert, verändert oder entfernt werden können und die 
 gewährleisten, dass Weitergaben kontrolliert und ggf. protokolliert werden 
 können:

• Daten werden nur verschlüsselt übertragen, z. B. über SSH oder in S/MIME-verschlüsselten E-Mails.
• Datenweitergaben erfolgen nur an berechtigte Dritte (Behörden) im Rahmen der gesetzlichen Vorgaben.

2.2 Eingabekontrolle: Maßnahmen zur Feststellung, ob und von wem personenbezogene Daten 
 eingegeben, verändert oder entfernt worden sind:

• Protokollierung mittels Access Logs.
• Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen.

§ 3 Verfügbarkeit und Belastbarkeit; Datenschutzmanagement

3.1 Verfügbarkeitskontrolle: Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen 
 zufällige oder mutwillige Zerstörung bzw. Verlust gesichert sind:

• Tägliche Backups aller relevanten Server.
• Regelmäßiges Testen der Datenwiederherstellung.
• Einsatz von Firewalls.
• Rauchmelder.
• Feuerlöschgeräte in Serverräumen.

3.2 Verfahren zur Überprüfung, Bewertung und Evaluierung der Wirksamkeit

• Auftragsverarbeitungen im Sinne von Art. 28 DSGVO werden grundsätzlich innerhalb einer entsprechenden vertraglichen Grundlage bearbeitet bzw. vergeben. Die Vertragsgrundlage beinhaltet Regelungen zu Kontrollmöglichkeiten des Vertriebspartners.

§ 4 Auftragskontrolle:

Maßnahmen, die sicherstellen, dass keine weitere Auftragsverarbeitung im 
 Sinne von Art. 28 DSGVO ohne vorherige Zustimmung des Auftraggebers 
 stattfindet:

• Auftragsverarbeitungsvereinbarung mit Lieferanten inkl. Adressatenkreis von Weisungsgebern und Weisungsempfängern.
• Schriftliche Weisungen.

Anhang C2 (LINK Mobility) – Technische und organisatorische Maßnahmen

gem. Art. 32, 28 Abs. 3 Satz 2 lit. c DSGVO
Versand von Einmal-Login-Codes (OTP) per SMS durch Subunternehmer LINK Mobility.
Der Auftragnehmer trifft folgende technische und organisatorische Maßnahmen zur Datensicherheit im Sinne von Art. 32, 28 Abs. 3 Satz 2 lit. c DSGVO:

§ 1 Vertraulichkeit gem. Art. 32 Abs. 1 lit. b DSGVO
1.1 Zutrittskontrolle
Maßnahmen, damit Unbefugten der Zutritt zu den 
 Datenverarbeitungsanlagen verwehrt wird, mit denen personenbezogene 
 Daten verarbeitet werden:
Alarmanlage
Protokollierung der Besucher
Personenkontrolle beim Portier
Chipkarten für das Zugangssystem
Videoüberwachung
Tragepflicht von Berechtigungsausweisen



1.2 Zugangskontrolle
Maßnahmen, die verhindern, dass Unbefugte die Datenverarbeitungsanlagen 
 benutzen:
Zuordnung von Benutzerrechten
Passwortvergabe auf Basis einer Passwortpolicy
Authentifizierungen mittels Benutzernamen und Passwort
Gehäuseverriegelung an den Serverracks
Benutzerprofile
Einsatz von VPN Technologie
Sicherheitsschlösser
Personenkontrolle beim Portier
Tragepflicht von Berechtigtenausweisen
Teilweiser Einsatz von Smartphone-Administrationsservices (Android)
Einsatz von Antivirensoftware
Einsatz von Firewalls



1.3 Zugriffskontrolle
Maßnahmen, die gewährleisten, dass die zur Benutzung der 
 Datenverarbeitungsanlagen Befugten ausschließlich auf die ihrer 
 Zugriffsberechtigung unterliegenden personenbezogenen Daten zugreifen 
 können:
Beschränkung der Anzahl von Systemadministratoren auf ein notwendiges Minimum
Passwortrichtlinie (Passwortlänge)

1.4 Trennungskontrolle
Maßnahmen, die gewährleisten, dass Daten, die zu unterschiedlichen 
 Zwecken erhoben wurden, auch getrennt verarbeitet werden:
Festlegung von Datenbankrechten
Logische softwareseitige Mandantentrennung
Trennung von Entwicklungs-, Test- und Produktivsystem

1.5 Wiederherstellbarkeit
Maßnahmen, die sicherstellen, dass personenbezogene Daten rasch wiederhergestellt werden können:
Backups
Recoverykonzept

§ 2 Integrität gem. Art. 32 Abs. 1 lit. b DSGVO
2.1 Weitergabekontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten nicht 
 unbefugt gelesen, kopiert, verändert oder entfernt werden können und die 
 gewährleisten, dass Weitergaben kontrolliert und ggf. protokolliert werden 
 können:
Einrichtung von Standleitungen und VPN Tunneln
Die Durchführung von physischen Transporten von Hardware erfolgt mit persönlicher Begleitung durch qualifiziertes hauseigenes Personal
Der Transport erfolgt in sicheren Transportbehältern.
Datenweitergaben erfolgen nur an berechtigte Dritte (Behörden) im Rahmen der gesetzlichen Vorgaben.

2.2 Eingabekontrolle
Maßnahmen zur Feststellung, ob und von wem personenbezogene Daten eingegeben, verändert oder entfernt worden sind:
Protokollierung mittels Access Logs
Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen

§ 3 Verfügbarkeit und Belastbarkeit gem. Art. 32 Abs. 1 lit. b und c DSGVO; 
 Datenschutzmanagement
3.1 Verfügbarkeitskontrolle
Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen 
 zufällige oder mutwillige Zerstörung bzw. Verlust gesichert sind:
Unterbrechungsfreie Stromversorgung (USV)
Feuer- und Rauchmeldeanlagen
Feuerlöschgeräte in Serverräumen
Alarmierung bei unberechtigten Zutritten
Testen von Datenwiederherstellung
Klimaanlage in Serverräumen

Backups inkl. Recoverykonzept
Notfallpläne
Serverräume sind nicht unter sanitären Anlagen
Schutzsteckdosen in Serverräumen

3.2 Verfahren zur Überprüfung Bewertung und Evaluierung der Wirksamkeit gem. 
 Art. 32 Abs. 1 lit. d DSGVO i.V.m. Art. 25 Abs. 1 DSGVO
(Hier sind Maßnahmen des Datenschutzmanagements, also etwa Bestellung eines Datenschutzbeauftragten, Verpflichtungserklärungen der Mitarbeiter, ggf. Zertifizierungen, externe Prüfungen etc. aufzuführen.)

§ 4 Auftragskontrolle
Maßnahmen, die sicherstellen, dass keine weitere Auftragsverarbeitung im Sinne von Art. 28 DSGVO ohne vorherige Zustimmung der SecCommerce stattfindet:
Auftragsverarbeitungsvereinbarung mit Lieferanten inkl. Adressatenkreis von Weisungsgebern und Weisungsempfängern
Schriftliche Weisungen

Anhang C3 (STACKIT) – Technische und organisatorische Maßnahmen

gem. Art. 32, 28 Abs. 3 Satz 2 lit. c DSGVO

Siehe Dokument STACKIT_Auftragsverarbeitungsvertrag.pdf

---

---

Stand: 08.09.2026