Vereinbarung über Auftragsverarbeitung (AVV)

für die Nutzung des Cloud-Dienstes „PortiQ start“ gemäß Art. 28 DSGVO

Parteien

Auftraggeber: der Kunde, der PortiQ start nutzt (nachfolgend „Auftraggeber“) – im Online-Bestellprozess bzw. im Kundenkonto mit seinen Daten benannt.

Auftragnehmer: SecCommerce Informationssysteme GmbH, Otto-Wels-Straße 49, 22297 Hamburg – Deutschland (nachfolgend „SecCommerce“ oder „Auftragnehmer“).

Präambel

Die Parteien haben eine Vereinbarung über die Erbringung von Leistungen durch den Auftragnehmer abgeschlossen. Bei der Erbringung seiner Leistungen verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers; zumindest kann dies nicht ausgeschlossen werden. Mit diesem Vertrag über die Auftragsverarbeitung wollen die Parteien die rechtliche Grundlage für die Datenverarbeitung durch den Auftragnehmer schaffen und insbesondere die Pflichten des Auftragnehmers in diesem Zusammenhang konkretisieren.

§ 1 Vertragsgegenstand

1.1 Zwischen den Parteien besteht ein Vertrag über die Nutzung des Cloud-Dienstes PortiQ start (nachfolgend „Leistungsvereinbarung“).

1.2 Im Rahmen der Durchführung der Leistungsvereinbarung verarbeitet der Auftragnehmer personenbezogene Daten für den Auftraggeber. Dabei handelt es sich um eine Datenverarbeitung im Auftrag gemäß Art. 28 DSGVO.

1.3 Die Art der Verarbeitung von Daten, die Art der betroffenen personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus dem Anhang A. Dort finden sich auch Informationen zum Gegenstand des Auftrags sowie zum Zweck der Verarbeitung.

1.4 Die weiteren Einzelheiten der Rechte und Pflichten beider Parteien im Rahmen einer Auftragsverarbeitung regelt dieser Vertrag.

1.5 Kostenloser Probemonat
: Als Leistungsvereinbarung im Sinne dieser AVV gilt auch die unentgeltliche Testnutzung von PortiQ start im Rahmen eines kostenlosen Probemonats, sofern die Anbieterin hierbei personenbezogene Daten im Auftrag des Kunden verarbeitet.

§ 2 Begriffsbestimmungen

2.1 Datenschutz-Grundverordnung („DSGVO“) bezeichnet die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG unter Einbeziehung der am 19. April 2018 von der EU veröffentlichten Korrekturen zur Datenschutz-Grundverordnung. Für verwendete Begriffe, für die Art. 4 DSGVO eine Begriffsbestimmung vorsieht, gilt diese gesetzliche Definition in der im Zeitpunkt des Vertragsschlusses geltenden Fassung.

2.2 Besonders schutzwürdige personenbezogene Daten sind einerseits besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO, aus denen die rassische und ethnische Herkunft, politische Meinung, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit von Betroffenen hervorgehen, genetische Daten gemäß Art. 4 Abs. 13 DSGVO, biometrische Daten gemäß Art. 4 Abs. 14 DSGVO, Gesundheitsdaten gemäß Art. 4 Abs. 15 DSGVO sowie Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person. Umfasst sind ebenfalls personenbezogene Daten gemäß Art. 10 DSGVO über strafrechtliche Verurteilungen und Straftaten oder damit zusammenhängende Sicherungsmaßregeln.

§ 3 Rechte, Pflichten und Weisungsbefugnisse des Auftraggebers

3.1 Für die Beurteilung der Zulässigkeit der Verarbeitung, insbesondere gemäß Art. 6 Abs. 1 DSGVO sowie für die Wahrung der Rechte der betroffenen Personen nach den Art. 12 bis 22 DSGVO ist der Verantwortliche für die Datenverarbeitung zuständig. Gleichwohl ist der Auftragnehmer verpflichtet, alle Anfragen, sofern sie erkennbar ausschließlich an den Auftraggeber gerichtet sind oder eine datenschutzrechtliche Verpflichtung des Auftraggebers betreffen, unverzüglich an diesen weiterzuleiten.

3.2 Änderungen des Verarbeitungsgegenstands und Änderungen der Verfahren der Verarbeitung sind gemeinsam zwischen Auftraggeber und Auftragnehmer abzustimmen und schriftlich oder in einem dokumentierten elektronischen Format (beispielsweise E-Mail), unter Berücksichtigung der Leistungsvereinbarung, festzulegen.

3.3 Der Auftraggeber erteilt alle Aufträge, Teilaufträge und Weisungen schriftlich oder in einem dokumentierten elektronischen Format. Mündliche Weisungen sind gültig; der Auftraggeber wird sich bemühen, diese innerhalb angemessener Frist schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen.

3.4 Der Auftraggeber ist berechtigt, sich vor Beginn der Tätigkeit des Auftragnehmers und dann in regelmäßigen Abständen in angemessener Weise von der Einhaltung der beim Auftragnehmer getroffenen technischen organisatorischen Maßnahmen sowie der in diesem Vertrag festgelegten Verpflichtungen zu überzeugen. Der Auftragnehmer wird bei Überprüfungen (Audits) in dem erforderlichen Umfang mitwirken. Der Auftragnehmer ist auch damit einverstanden, dass der Auftraggeber Dritte mit der Überprüfung (Audits) beauftragt.

3.5 Der Auftraggeber wird sich bemühen, den Auftragnehmer in angemessener Zeit zu informieren, wenn er Fehler oder Unregelmäßigkeiten bei einer etwaigen Überprüfung der Auftragsergebnisse erkennt.

§ 4 Weisungsberechtigte / Weisungsempfänger; Verstoß gegen gesetzliche Vorschriften

4.1 Weisungsberechtigt beim Auftraggeber sind die im Online-Bestellprozess bzw. im Kundenkonto hinterlegten vertretungsberechtigten Personen des Auftraggebers.

4.2 Weisungsempfänger beim Auftragnehmer: Falk Goossens; Telefon: +49 (40) 53052-0; E-Mail: datenschutz@seccommerce.com.

4.3 Bei einem Wechsel oder einer längerfristigen Verhinderung der Weisungsberechtigten sind der anderen Partei unverzüglich und schriftlich oder in einem dokumentierten elektronischen Format die Nachfolger bzw. Vertreter mitzuteilen.

4.4 Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung nach seiner Ansicht gegen gesetzliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung so lange auszusetzen, bis durch den Auftraggeber die Gültigkeit der Weisung bestätigt oder die Weisung geändert wird.

§ 5 Pflichten des Auftragnehmers

5.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen vertraglichen Vereinbarungen und nach den Weisungen des Auftraggebers, sofern er nicht durch das Recht der Europäischen Union oder durch sein Heimatrecht zu einer anderen Verarbeitung verpflichtet ist (beispielsweise bei Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden); in einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).

5.2 Der Auftragnehmer verwendet die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen des Auftraggebers nicht erstellt, sofern dies nicht zur Erbringung der Leistungen des Auftragnehmers nach der Leistungsvereinbarung erforderlich ist.

5.3 Der Auftragnehmer sichert zu, dass die für den Auftraggeber verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden. Dies gilt auch für den Eingang und Ausgang von Daten, auch auf Datenträgern.

5.4 Bei der Erfüllung der Rechte von betroffenen Personen nach den Art. 12 bis 22 DSGVO durch den Auftraggeber, bei der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO sowie bei ggf. erforderlichen Datenschutz-Folgenabschätzungen des Auftraggebers gemäß Art. 35 DSGVO und der Einhaltung der in den Artikeln 32 und 36 DSGVO genannten Pflichten des Auftraggebers hat der Auftragnehmer im erforderlichen Umfang mitzuwirken und den Auftraggeber so weit wie möglich angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. e und f DSGVO). Der Auftragnehmer hat die hierzu erforderlichen Angaben jeweils auf Anforderung unverzüglich an den Weisungsberechtigten des Auftraggebers gemäß § 4.1 dieses Vertrags weiterzuleiten.

5.5 Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis darf der Auftragnehmer nur nach vorheriger Weisung oder Zustimmung durch den Auftraggeber gegenüber Dritten oder dem Betroffenen gegenüber erteilen. Dies gilt entsprechend für jegliche Wahrnehmung von Rechten betroffener Personen, beispielsweise die Berichtigung und Löschung von Daten, beim Auftragnehmer.

5.6 Der Auftragnehmer teilt dem Auftraggeber unverzüglich Störungen, Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen der einschlägigen Gesetze, nach diesem Vertrag oder der Leistungsvereinbarung sowie bereits den Verdacht auf solche Verstöße schriftlich oder in elektronisch dokumentierter Form mit. Dies gilt insbesondere im Hinblick auf evtl. Melde- und Benachrichtigungspflichten des Auftraggebers nach Art. 33 und Art. 34 DSGVO. Der Auftragnehmer sichert zu, den Auftraggeber erforderlichenfalls bei der Erfüllung seiner Pflichten gemäß Art. 33 und Art. 34 DSGVO unverzüglich und in zumutbarem Umfang zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DSGVO). Meldungen nach Art. 33 oder Art. 34 DSGVO für den Auftraggeber darf der Auftragnehmer nur nach vorheriger Weisung von einem Weisungsberechtigten gemäß § 4 dieses Vertrags durchführen.

§ 6 Weitere datenschutzrechtliche Maßnahmen beim Auftragnehmer, Homeoffice

6.1 Beim Auftragnehmer ist als Datenschutzbeauftragter bestellt: Falk Goossens; Telefon: +49 (40) 53052-0; E-Mail: datenschutz@seccommerce.com. Einen Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich mitzuteilen.

6.2 Der Auftragnehmer führt ein Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO.

6.3 Der Auftragnehmer bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften der DSGVO und des BDSG bekannt sind.

6.4 Einer Verarbeitung personenbezogener Daten außerhalb der Betriebsräume des Auftragnehmers (Standard-Mobilarbeitsplätze, z. B. Telearbeit, Heimarbeit, Homeoffice, mobiles Arbeiten) wird unter folgenden Bedingungen zugestimmt:

• Die Standard-Mobilarbeitsplätze werden im Rahmen eines vom Auftragnehmer intern freigegebenen Datenschutzkonzeptes betrieben. Die Mitarbeitenden des Auftragnehmers sind sowohl mit technischem Equipment als auch mit entsprechenden Handlungsanweisungen ausgestattet.
• Es findet außerhalb der Betriebsräume keine lokale Verarbeitung von Daten auf dem Arbeitsplatz-PC statt.
• Der Zugriff auf die Administrationsumgebung des Auftragnehmers erfolgt gesichert über VPN u. ä. Der Zugriff und die Verarbeitung personenbezogener Daten erfolgt im Rahmen und unter Weisungslage des Auftraggebers bzw. des Verantwortlichen.

Bei der Verarbeitung personenbezogener Daten, deren Schutzbedarf in Anlehnung an das Standard-Datenschutzmodell oder BSI IT-Grundschutz entsprechend hoch eingestuft ist, sind Telearbeit und mobiles Arbeiten nicht zulässig. Die Auftragsverarbeitung erfolgt gemäß § 7 dieser Vereinbarung im Grundsatz in der Europäischen Union bzw. innerhalb des Europäischen Wirtschaftsraums. Dies schließt (Fern-)Wartung und sonstige Fernzugriffe im Rahmen der Auftragsverarbeitung mit ein.

6.5 Der Auftragnehmer sichert zu, dass er die bei der Durchführung von Datenverarbeitungen nach der Leistungsvereinbarung und nach diesem Vertrag beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut gemacht und für die Zeit ihrer Tätigkeit wie auch nach der Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet hat (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DSGVO). Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Verantwortungsbereich.

6.6 Der Auftragnehmer sichert zu, jederzeit mit der Aufsichtsbehörde, soweit dies zur Durchführung der Leistungsvereinbarung oder dieses Vertrags gehört, zu kooperieren.

§ 7 Datenverarbeitung in und außerhalb der Europäischen Union / des Europäischen Wirtschaftsraums

7.1 Die Datenverarbeitung nach Maßgabe der Leistungsvereinbarung und dieses Vertrags wird ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum erbracht.

7.2 Jede Verlagerung von Verarbeitungsvorgängen oder von Teilarbeiten hierzu in ein Drittland darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (beispielsweise Angemessenheitsbeschluss der Europäischen Kommission, Standarddatenschutzklauseln oder genehmigte Verhaltensregeln etc.) und die schriftliche oder elektronisch dokumentierte vorherige Zustimmung des Auftraggebers vorliegt.

7.3 Sind die aktuellen Standardvertragsklauseln der EU-Kommission – vgl. den Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679 – als Transferinstrument für die Übermittlung personenbezogener Daten an einen unsicheren Drittstaat vorgesehen, sind diese vom Auftragnehmer als weiterer Anhang zu dieser Vereinbarung anzufügen, wenn er die personenbezogenen Daten exportiert. Der Auftragnehmer bestimmt das jeweilige Modul sowie ggf. weitere zusätzliche Maßnahmen, die ein angemessenes Datenschutzniveau sicherstellen sollen, und stimmt diese mit dem Auftraggeber ab.

7.4 Der Auftragnehmer stellt dem Auftraggeber unverzüglich alle notwendigen Informationen bereit, damit der Auftraggeber bzw. der Verantwortliche für die Verarbeitung personenbezogener Daten die Rechtmäßigkeit der Übermittlung personenbezogener Daten an einen unsicheren Drittstaat überprüfen kann.

§ 8 Unterauftragsverhältnisse

(1) Der Einsatz von Subunternehmern als weiteren Auftragsverarbeiter ist nur zulässig, wenn der Auftraggeber vorher zugestimmt hat.

(2) Ein zustimmungspflichtiges Subunternehmerverhältnis liegt vor, wenn der Auftragnehmer weitere Auftragnehmer mit der ganzen oder einer Teilleistung der im Vertrag vereinbarten Leistung beauftragt. Der Auftragnehmer wird mit diesen Dritten im erforderlichen Umfang Vereinbarungen treffen, um angemessene Datenschutz- und Informationssicherheitsmaßnahmen zu gewährleisten. Der Auftraggeber stimmt zu, dass der Auftragnehmer Subunternehmer hinzuzieht. Vor Hinzuziehung oder Ersetzung der Subunternehmer informiert der Auftragnehmer den Auftraggeber. Der Auftraggeber kann der Änderung – innerhalb einer angemessenen Frist – aus wichtigem Grund – gegenüber der vom Auftraggeber bezeichneten Stelle widersprechen. Erfolgt kein Widerspruch innerhalb der Frist, gilt die Zustimmung zur Änderung als gegeben. Liegt ein wichtiger datenschutzrechtlicher Grund vor, und sofern eine einvernehmliche Lösungsfindung zwischen den Parteien nicht möglich ist, wird dem Auftraggeber ein Sonderkündigungsrecht eingeräumt.

(3) Erteilt der Auftragnehmer Aufträge an Subunternehmer, so obliegt es dem Auftragnehmer, seine datenschutzrechtlichen Pflichten aus diesem Vertrag dem Subunternehmer zu übertragen.

§ 9 Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

9.1 Der Auftragnehmer gewährleistet ein für die Datenverarbeitung nach Maßgabe der Leistungsvereinbarung angemessenes Schutzniveau nach Maßgabe von Art. 32 Abs. 1 DSGVO, vgl. Art. 28 Abs. 3 Satz 2 lit. c DSGVO. Die konkreten technischen und organisatorischen Maßnahmen ergeben sich aus dem Anhang C zu diesem Vertrag.

9.2 Der Auftragnehmer sichert zu, dass die in Anhang C aufgezeichneten Maßnahmen angemessen und wirksam sind und jederzeit aufrechterhalten werden. Änderungen dieser Maßnahmen stellen eine Änderung dieses Vertrages dar und sind nur unter Einhaltung der entsprechenden Anforderungen zulässig.

9.3 Die Maßnahmen sind während der Dauer dieses Vertrags an die geltenden rechtlichen Vorgaben und den Stand der Technik anzupassen. Der Auftragnehmer aktualisiert den Anhang C entsprechend und teilt dem Auftraggeber auf diese Weise die Änderungen mit.

§ 10 Haftung des Auftragnehmers

Auftraggeber und Auftragnehmer haften gegenüber betroffenen Personen entsprechend der in Art. 82 DSGVO getroffenen Regelung.

§ 11 Dauer und Beendigung dieses Vertrags

11.1 Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit der Leistungsvereinbarung.

11.2 Dauer bei kostenlosem Probemonat: 
Bei einem kostenlosen Probemonat beginnt diese AVV mit Bereitstellung des Testaccounts und endet mit Beendigung des Probemonats, sofern kein gesonderter kostenpflichtiger Vertrag über die weitere Nutzung von PortiQ start zustande kommt. Wird die Nutzung durch gesonderte Bestellung in einen kostenpflichtigen Vertrag überführt, gilt diese AVV ohne Unterbrechung für die weitere Laufzeit der Leistungsvereinbarung fort.

§ 12 Datenlöschung

Der Auftragnehmer löscht sämtliche vom Auftraggeber gespeicherten personenbezogenen Daten spätestens 12 Monate nach Vertragsbeendigung, sofern keine gesetzlichen Aufbewahrungsfristen bestehen. Der Auftraggeber hat jederzeit die Möglichkeit, Daten bereits vorher selbstständig zu löschen.

§ 13 Schlussbestimmungen

13.1 Änderungen und Ergänzungen dieses Vertrags und seiner Anhänge bedürfen der Schriftform. Dies gilt auch für die Aufhebung dieses Schriftformerfordernisses.

13.2 Gerichtsstand für sämtliche Streitigkeiten zwischen den Parteien aus oder im Zusammenhang mit diesem Vertrag ist Hamburg.

13.3 Sollten einzelne Regelungen dieses Vertrags unwirksam oder undurchführbar sein oder werden, wird die Wirksamkeit der übrigen Regelungen davon nicht berührt. An die Stelle der unwirksamen oder undurchführbaren Regelung tritt diejenige wirksame und durchführbare Regelung, die dem mit dieser Vereinbarung verfolgten datenschutzrechtlichen und wirtschaftlichen Zweck am nächsten kommt. Die vorstehenden Bestimmungen gelten entsprechend für den Fall, dass sich dieser Vertrag als lückenhaft erweist.

---

Anhang A – Kategorien von Daten und Betroffene

Gegenstand des Auftrags

Der Auftragnehmer betreibt eine Signaturlösung als Software as a Service. Die Signaturlösung ist eine Anwendung, mit der in Verbindung mit den Vertrauensdiensten der D-Trust digitale Signaturen und Siegel im Rahmen eines Workflows oder auch direkt zur Verfügung gestellt werden können.

Art und Zweck der Verarbeitung

Zweck der Verarbeitung:

• Betrieb und Verwaltung des Signaturservers (insbesondere Nutzerverwaltung, Updates & Aktualisierungen sowie Organisation des Hostings im externen Rechenzentrum), der für mehrere Endkunden der D-Trust betrieben wird.
• Technische Trennung der einzelnen Endkundensichten der D-Trust (Mandantentrennung).
• Versand von Einmal-Login-Codes (OTP) per websms, sofern SMS-TOTP genutzt wird.
• Support für Nutzer des Auftraggebers sowie Nutzer von Endkunden des Auftraggebers.
• Abrechnung an den Auftraggeber.
• Einrichtung, Bereitstellung, Verwaltung und Beendigung von Testaccounts im Rahmen eines kostenlosen Probemonats.

Betroffene Personen

• Nutzer und ehemalige Nutzer des Auftraggebers und von Endkunden des Auftraggebers, die Nutzer des Signaturservers sind oder waren.
• Technische Ansprechpartner und Nutzer des Auftraggebers sowie seiner Endkunden im Supportfall.
• Dritte, deren Daten in den zu signierenden Daten bzw. auf den zu signierenden Dokumenten enthalten sind.

Art der verarbeiteten Daten

Es werden die Daten verarbeitet, die der Auftraggeber oder Endkunden des Auftraggebers dem Auftragnehmer zum Betrieb und der Verwaltung des Signaturservers sowie im jeweiligen Supportfall zur Verfügung stellen. Auftraggeber bzw. Endkunden des Auftraggebers und Auftragnehmer stimmen sich jeweils ab, welche Daten dafür notwendig sind, und beschränken sich auf das Notwendige zur Lösung des konkreten Problems. Unter anderem können dies sein:

• Zertifikatsdaten
• Kontaktinformationen (E-Mail, Telefon)
• Logfiles
• Statusinformationen per E-Mail
• IP-Adresse des Clients
• Ausnahmsweise, wenn das Problem vom Auftragnehmer nicht anders reproduziert werden kann: zu signierende Daten
• Unterschriftsbefugnisse
• Rollen
• Organisationszugehörigkeiten

Verarbeitung besonders schutzwürdiger personenbezogener Daten

Es werden die Daten verarbeitet, die der Auftraggeber bzw. Endkunden des Auftraggebers bzw. deren Nutzer in der Webseite hochladen, die vom Signaturserver bereitgestellt wird. Um welche Art von Daten es sich handelt, entscheidet jeweils der Auftraggeber bzw. Endkunden des Auftraggebers allein.

---

Anhang B – Liste der beauftragten Subunternehmer

Im Rahmen des Vertrags über die Auftragsverarbeitung setzt der Auftragnehmer folgende Subunternehmer / Unterauftragnehmer zur Erfüllung seiner Pflichten ein:

• ScaleUp Technologies GmbH & Co. KG, Süderstr. 198, 20537 Hamburg – Teilleistung: Rechenzentrum – Ort der Leistungserbringung: Hamburg / Berlin.
• IONOS SE, Elgendorfer Str. 57, 56410 Montabaur – Teilleistung: Rechenzentrum – Ort der Leistungserbringung: Berlin / Frankfurt.
• LINK Mobility Austria GmbH, Brauquartier 5/13, 8055 Graz, Österreich – Teilleistung: Versand von Einmal-Login-Codes (OTP) per SMS über den Anbieter websms – Ort der Leistungserbringung: EU / EWR.

---

Anhang C1 (SecCommerce) – Technische und organisatorische Maßnahmen

gem. Art. 32, 28 Abs. 3 Satz 2 lit. c DSGVO – Nutzerverwaltung, Updates und Aktualisierungen durch SecCommerce.

§ 1 Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

• Schlüssel zum Büro nur für Mitarbeiter der SecCommerce Informationssysteme GmbH.
• Schlüssel zu Serverräumen nur für diejenigen Mitarbeiter, die den Zugang benötigen.
• Alarmanlage.
• Protokollierung und Begleitung von Besuchern.

1.2 Zugangskontrolle

• Computer der Mitarbeiter haben ein sicheres Passwort.
• Mitarbeiter installieren Sicherheitsupdates unverzüglich.
• Computer der Mitarbeiter sperren sich bei Inaktivität automatisch.
• Source-Codes befinden sich auf den Mitarbeitercomputern auf einer verschlüsselten Partition.
• Login auf Servern verschlüsselt mit SSH und nur für diejenigen Mitarbeiter, die den Zugang benötigen.
• Sicherheitsschloss für die Bürotür.
• Einsatz von Zwei-Faktor-Authentifizierung für einige Systeme.
• Einsatz von Firewalls.

1.3 Zugriffskontrolle

• Zugriff auf alle Systeme erhalten nur die Mitarbeiter, die ihn benötigen.
• Auf den Systemen werden Zugriffsrechte für Nutzergruppen vergeben, so dass nur die Mitarbeiter, die den Zugriff auf bestimmte Daten benötigen, ihn erhalten.
• Beschränkung der Anzahl der Systemadministratoren auf ein notwendiges Minimum.

1.4 Trennungskontrolle

• Trennung zwischen Entwicklungs-, Test- und Produktivsystemen.
• Für jedes produktive System steht ein Testsystem zur Verfügung.
• Entwickler nutzen für Tests wo möglich Testdaten und keine echten Daten aus produktiven Kundensystemen. Sollten echte Kundendaten im Ausnahmefall benötigt werden, werden diese getrennt von den Testdaten gespeichert und nach dem Test gelöscht.

§ 2 Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

• Daten werden nur verschlüsselt übertragen, z. B. über SSH oder in S/MIME-verschlüsselten E-Mails.
• Datenweitergaben erfolgen nur an berechtigte Dritte (Behörden) im Rahmen der gesetzlichen Vorgaben.

2.2 Eingabekontrolle

• Protokollierung mittels Access Logs.
• Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen.

§ 3 Verfügbarkeit und Belastbarkeit; Datenschutzmanagement

3.1 Verfügbarkeitskontrolle

• Tägliche Backups aller relevanten Server.
• Regelmäßiges Testen der Datenwiederherstellung.
• Einsatz von Firewalls.
• Rauchmelder.
• Feuerlöschgeräte in Serverräumen.

3.2 Verfahren zur Überprüfung, Bewertung und Evaluierung der Wirksamkeit

• Auftragsverarbeitungen im Sinne von Art. 28 DSGVO werden grundsätzlich innerhalb einer entsprechenden vertraglichen Grundlage bearbeitet bzw. vergeben. Die Vertragsgrundlage beinhaltet Regelungen zu Kontrollmöglichkeiten des Vertriebspartners.

§ 4 Auftragskontrolle

• Auftragsverarbeitungsvereinbarung mit Lieferanten inkl. Adressatenkreis von Weisungsgebern und Weisungsempfängern.
• Schriftliche Weisungen.

---

Anhang C2 (IONOS) – Technische und organisatorische Maßnahmen

gem. Art. 32, 28 Abs. 3 Satz 2 lit. c DSGVO – Hosting durch Subunternehmer „IONOS SE“ (externes Rechenzentrum).

Die technisch-organisatorischen Maßnahmen können hier abgerufen werden: IONOS – Technische und organisatorische Maßnahmen (TOM).

---

Anhang C3 (ScaleUp) – Technische und organisatorische Maßnahmen

gem. Art. 32, 28 Abs. 3 Satz 2 lit. c DSGVO – Hosting durch Subunternehmer „ScaleUp“ (externes Rechenzentrum).

§ 1 Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

• Die Rechenzentren sind in unterschiedliche Sicherheitszonen unterteilt – beginnend mit der niedrigsten Sicherheitszone (Außenflächen, Parkplatz, Empfangsbereich) mit der größten Anzahl zutrittsberechtigter Personen bis zur höchsten Sicherheitszone (Versorgungsräume für Stromversorgung und Telekommunikationsanbindungen, Colocationfläche) mit der geringsten Anzahl zutrittsberechtigter Personen.
• An signifikanten Zutrittstüren sind elektronische Ausweisleser, PIN-Eingabegeräte oder biometrische Erkennungssysteme installiert, an denen sich die zutrittsberechtigten Personen mit ihrem persönlichen Identifikationsmerkmalträger legitimieren müssen.
• Der Zutritt wird durch zentrale Sicherheits-Leitstellen überwacht – zwecks Alarmverifizierung, Einleitung und Durchführung von Interventionsmaßnahmen sowie Speicherung und Protokollierung sämtlicher sicherheitsrelevanter Ereignisse.
• Die Zutrittstüren verfügen über integrierte elektrische, zwangsläufige Verriegelungen unter Einhaltung geltender Fluchtwegbestimmungen. In einer Not- oder Gefahrensituation ist das Verlassen über die Panikriegelfunktionen jederzeit möglich; dabei werden Alarmmeldungen ausgelöst, visualisiert und aufgezeichnet.
• Sicherheitsrelevante Meldungen, Alarmereignisse und Vorkommnisse können gemeldet, visualisiert, aufgezeichnet und gespeichert werden (lückenlose Dokumentation und nachträgliche Verifizierung).
• Zutrittsberechtigte Personen (Kunden, Lieferanten, Mitarbeiter) können nur die Räume betreten, für die sie über ein persönlich hinterlegtes Zutrittsprofil verfügen; Teilbereiche und einzelne Serverschränke sind zusätzlich gesichert.
• Betriebsfremde Personen ohne permanente Zutrittsberechtigung haben grundsätzlich keinen Zutritt, es sei denn, sie wurden aus besonderem Grund (z. B. Wartungseinsatz, Audit, begleitete Besichtigung) einmalig legitimiert.
• Der Zutritt kann von der Vorlage eines gültigen amtlichen Identitätsnachweises (Personalausweis, Reisepass, Führerschein) abhängig gemacht werden.

1.2 Zugangskontrolle

• Der Zugang zu technischen Systemen und Anwendungen ist durch individuelle Benutzernamen und Kennwörter gesichert. Für den Administrator-Zugriff auf Serversysteme werden SSH-Keys verwendet.
• Die Genehmigung von Benutzerkonten und SSH-Keys erfolgt durch die Geschäftsführung, mit anschließender Freigabe durch den Chief Operations Officer (COO).

1.3 Zugriffskontrolle

• Zugriffsberechtigungen werden mit einem rollenbasierten Berechtigungssystem nach dem Prinzip „need-to-know“ und „need-to-do“ erteilt. Zugriffe werden mit den Mitteln der jeweiligen Anwendung protokolliert.

1.4 Trennungskontrolle

• Einsatz von dedizierten Servern und/oder Virtualisierung zur Trennung von Systemen und Anwendungen unterschiedlicher Aufträge.
• Einsatz einer dedizierten und/oder virtualisierten Speicherlösung zur physischen und/oder logischen Trennung von Datenbeständen unterschiedlicher Aufträge.
• Auftragsabhängig sind Systeme und Anwendungen für eine zweckgebundene, mandantengetrennte Verarbeitung ausgelegt; getrennte Test- und Produktivsysteme sind möglich.
• Die genaue Ausgestaltung bestimmt der Auftraggeber im Einzelfall.

§ 2 Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

• Auftragsabhängig erfolgt der Zugriff über verschlüsselte Datenverbindungen bzw. mittels Virtual Private Networks (VPN). Es kommen unterschiedliche technische Umsetzungen nach dem Stand der Technik zum Einsatz, wie AES-256-Verschlüsselung, die Nutzung von Zertifikaten u. ä.
• Die genaue Ausgestaltung bestimmt der Auftraggeber im Einzelfall.

2.2 Eingabekontrolle

• Eingaben, Veränderungen und Löschungen werden mit den Mitteln der jeweiligen Anwendung protokolliert. Die Protokolle werden abhängig von ihren Inhalten und/oder gesetzlichen Vorschriften archiviert oder nach Zweckverrichtung gelöscht.

§ 3 Verfügbarkeit und Belastbarkeit; Datenschutzmanagement

3.1 Verfügbarkeitskontrolle

• Die Rechenzentren sind mit redundanten USV-Anlagen und Dieselgeneratoren ausgestattet, deren Funktionsbereitschaft durch monatlich wiederkehrende Tests sichergestellt wird.
• Systeme und Anwendungen sind durch mehrstufige physische und technische Maßnahmen gegen zufällige oder mutwillige Zerstörung bzw. Verlust geschützt; zusätzlicher Schutz u. a. durch Firewalls, Backup, Antiviren- und Antispam-Software.
• Auftragsabhängig erfolgt ein verteilter Systembetrieb und Backup an mehreren Rechenzentrumsstandorten.
• Die genaue Ausgestaltung bestimmt der Auftraggeber im Einzelfall.

3.2 Verfahren zur Überprüfung, Bewertung und Evaluierung der Wirksamkeit

• Datenschutz-Management und Datenschutzkonzept.
• Überprüfung der internen Prozesse durch den Datenschutzbeauftragten.
• Ständige Verbesserung durch „Plan-Do-Check-Act“-Kreislauf.
• Prüfung und Dokumentation von Rechtsgrundlagen sowie strenge Zweckbindung.
• Definierte Prozesse zur Einbeziehung des Datenschutzbeauftragten und Freigabeverfahren bei Änderungen.
• Incident-Response-Management mit definierten Prozessen und Verantwortlichkeiten sowie internem Reporting von Auffälligkeiten.
• Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO).

§ 4 Auftragskontrolle

• Eindeutige Vertragsgestaltung.
• Formalisiertes Auftragsmanagement.
• Strenge Auswahl von Dienstleistern.
• Regelmäßige Überprüfung von Dienstleistern auf Einhaltung der Verträge sowie der vereinbarten Maßnahmen zum Datenschutzmanagement und zur Datensicherheit.

---

Anhang C4 (LINK Mobility) – Technische und organisatorische Maßnahmen

gem. Art. 32, 28 Abs. 3 Satz 2 lit. c DSGVO – Versand von Einmal-Login-Codes (OTP) per SMS durch Subunternehmer LINK Mobility.

§ 1 Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

• Alarmanlage.
• Protokollierung der Besucher.
• Personenkontrolle beim Portier.
• Chipkarten für das Zugangssystem.
• Videoüberwachung.
• Tragepflicht von Berechtigungsausweisen.

1.2 Zugangskontrolle

• Zuordnung von Benutzerrechten.
• Passwortvergabe auf Basis einer Passwortpolicy.
• Authentifizierung mittels Benutzernamen und Passwort.
• Gehäuseverriegelung an den Serverracks.
• Benutzerprofile.
• Einsatz von VPN-Technologie.
• Sicherheitsschlösser.
• Personenkontrolle beim Portier; Tragepflicht von Berechtigtenausweisen.
• Teilweiser Einsatz von Smartphone-Administrationsservices (Android).
• Einsatz von Antivirensoftware und Firewalls.

1.3 Zugriffskontrolle

• Beschränkung der Anzahl von Systemadministratoren auf ein notwendiges Minimum.
• Passwortrichtlinie (Passwortlänge).

1.4 Trennungskontrolle

• Festlegung von Datenbankrechten.
• Logische softwareseitige Mandantentrennung.
• Trennung von Entwicklungs-, Test- und Produktivsystem.

1.5 Wiederherstellbarkeit

• Backups.
• Recoverykonzept.

§ 2 Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

• Einrichtung von Standleitungen und VPN-Tunneln.
• Physische Transporte von Hardware erfolgen mit persönlicher Begleitung durch qualifiziertes hauseigenes Personal.
• Der Transport erfolgt in sicheren Transportbehältern.
• Datenweitergaben erfolgen nur an berechtigte Dritte (Behörden) im Rahmen der gesetzlichen Vorgaben.

2.2 Eingabekontrolle

• Protokollierung mittels Access Logs.
• Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen.

§ 3 Verfügbarkeit und Belastbarkeit; Datenschutzmanagement

3.1 Verfügbarkeitskontrolle

• Unterbrechungsfreie Stromversorgung (USV).
• Feuer- und Rauchmeldeanlagen.
• Feuerlöschgeräte in Serverräumen.
• Alarmierung bei unberechtigten Zutritten.
• Testen der Datenwiederherstellung.
• Klimaanlage in Serverräumen.
• Backups inkl. Recoverykonzept.
• Notfallpläne.
• Serverräume sind nicht unter sanitären Anlagen.
• Schutzsteckdosen in Serverräumen.

§ 4 Auftragskontrolle

• Auftragsverarbeitungsvereinbarung mit Lieferanten inkl. Adressatenkreis von Weisungsgebern und Weisungsempfängern.
• Schriftliche Weisungen.

---

Stand: 08.06.2026