Vereinbarung zur Auftragsverarbeitung

nach Art. 28 DSGVO — Anlage zu den Allgemeinen Geschäftsbedingungen für die Nutzung von „Kontorly"

Stand: August 2026

Parteien

Verantwortlicher ist der Kunde, der die Software „Kontorly" auf Grundlage der Allgemeinen Geschäftsbedingungen nutzt (nachfolgend „Verantwortlicher").

Auftragsverarbeiter ist die 3 ducks digital GmbH, Kieler Str. 129d, 25474 Bönningstedt, eingetragen im Handelsregister des Amtsgerichts Hamburg unter HRB 169977 (nachfolgend „Auftragsverarbeiter").

Datenschutz-Kontakt des Auftragsverarbeiters: kontakt@kontorly.de

§ 1 Gegenstand, Dauer, Rangfolge

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Software „Kontorly" als Software-as-a-Service bereit (nachfolgend „Hauptvertrag"). Dabei verarbeitet er personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien.

(2) Der Verantwortliche entscheidet allein über Zweck und Mittel der Verarbeitung und über die Rechtmäßigkeit der Datenerhebung und -verwendung. Er ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.

(3) Diese Vereinbarung wird mit Abschluss des Hauptvertrages geschlossen. Sie gilt für die Laufzeit des Hauptvertrages und endet mit ihm, längstens jedoch bis zur vollständigen Erfüllung der Pflichten aus § 12.

(4) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen die Regelungen dieser Vereinbarung vor, soweit die Verarbeitung personenbezogener Daten im Auftrag betroffen ist.

(5) Nicht Gegenstand dieser Vereinbarung sind Verarbeitungen, für die der Auftragsverarbeiter eigener Verantwortlicher ist, insbesondere die Verarbeitung der Vertrags-, Abrechnungs- und Kontaktdaten des Verantwortlichen selbst sowie die Verarbeitung von Protokolldaten zur Sicherheit und Weiterentwicklung der Plattform. Hierüber informiert die Datenschutzerklärung.

§ 2 Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

(1) Art und Zweck der Verarbeitung: Bereitstellung und Betrieb eines mandantenfähigen B2B-Onlineshop-Systems für den Verantwortlichen, insbesondere:

• Anlage und Verwaltung von Nutzerkonten des Verantwortlichen und von Konten der Geschäftskunden des Verantwortlichen, einschließlich Registrierung, Einladung und Freigabe,
• Verwaltung von Produkten, Preisen, Kundengruppen und Konditionen,
• Entgegennahme und Abwicklung von Bestellungen einschließlich Statusverfolgung,
• Erzeugung von Rechnungen, Gutschriften und Stornorechnungen im Format ZUGFeRD/Factur-X,
• Auslösung und Verwaltung von Zahlungsvorgängen über den Zahlungsdienstleister des Verantwortlichen,
• Erzeugung von Versandetiketten und Übermittlung von Sendungsdaten an den Versanddienstleister des Verantwortlichen,
• Versand von Transaktions-E-Mails an Nutzer und Geschäftskunden des Verantwortlichen,
• Bereitstellung eines KI-gestützten Assistenten zur Unterstützung des Verantwortlichen bei der Bedienung und Auswertung seines Kontos,
• Bereitstellung von Support, Fehleranalyse und Störungsbeseitigung,
• Hosting, Datenspeicherung, Datensicherung und technischer Betrieb.

(2) Kategorien betroffener Personen:

(3) Kategorien personenbezogener Daten:

(4) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Verantwortliche verpflichtet sich, solche Daten nicht in die Plattform einzugeben.

(5) Ort der Verarbeitung ist die Europäische Union bzw. der Europäische Wirtschaftsraum, soweit in Anlage 1 nicht ausdrücklich etwas anderes angegeben ist. Für Verarbeitungen in Drittländern gilt § 8.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen des Hauptvertrages, dieser Vereinbarung und etwaiger Einzelweisungen des Verantwortlichen. Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Insbesondere werden die im Auftrag verarbeiteten Daten nicht zur Erstellung eigener Profile, nicht zu Werbezwecken und nicht zum Training eigener oder fremder Modelle des maschinellen Lernens verwendet.

(2) Die Konfigurationsmöglichkeiten der Software sowie die Nutzung ihrer Funktionen durch den Verantwortlichen gelten als dokumentierte Weisung. Weitergehende Einzelweisungen erteilt der Verantwortliche in Textform an den Datenschutz-Kontakt des Auftragsverarbeiters.

(3) Weisungsberechtigt sind die vom Verantwortlichen in seinem Konto als Inhaber oder Administrator hinterlegten Personen sowie die von ihm in Textform benannten Personen.

(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Ausführung einer solchen Weisung bis zu ihrer Bestätigung oder Änderung auszusetzen.

(5) Verlangt eine Behörde oder ein Gericht die Offenlegung von im Auftrag verarbeiteten Daten, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, soweit ihm dies rechtlich erlaubt ist, und beschränkt eine Offenlegung auf das rechtlich Erforderliche.

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung und nur in dem in § 2 beschriebenen Umfang.

(2) Er führt ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

(3) Er unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei der Meldung von Datenschutzverletzungen und, soweit erforderlich, bei einer Datenschutz-Folgenabschätzung. Für Unterstützungsleistungen, die über die gesetzlich geschuldete Mitwirkung hinausgehen, kann er eine Vergütung nach Aufwand verlangen.

(4) Er benennt dem Verantwortlichen einen Ansprechpartner für Datenschutzfragen. Besteht eine gesetzliche Pflicht zur Benennung eines Datenschutzbeauftragten, teilt er dessen Kontaktdaten mit.

(5) Er korrigiert oder löscht die im Auftrag verarbeiteten Daten nach Weisung des Verantwortlichen. Ist eine vom Verantwortlichen gewünschte Löschung über die Funktionen der Software nicht möglich, führt der Auftragsverarbeiter sie auf Anforderung durch.

(6) Er verarbeitet die Daten ausschließlich in dem Umfang, in dem dies zur Erbringung der Leistung erforderlich ist, und beachtet den Grundsatz der Datenminimierung bei der Ausgestaltung der Software.

§ 5 Vertraulichkeit, Beschäftigte

(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und über die einschlägigen datenschutzrechtlichen Anforderungen unterrichtet worden sind. Die Verpflichtung besteht nach Beendigung der Tätigkeit fort.

(2) Zugriff auf im Auftrag verarbeitete Daten erhalten nur Beschäftigte, die diesen Zugriff zur Erfüllung ihrer Aufgaben benötigen. Ein administrativer Zugriff auf Daten des Verantwortlichen erfolgt ausschließlich zum Zweck der Leistungserbringung, der Störungsbeseitigung, der Fehleranalyse oder der Bearbeitung einer Support-Anfrage. Der Kreis der hierzu berechtigten Personen ist technisch beschränkt und dokumentiert.

§ 6 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit ein.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen und weiterentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen auf Anfrage mit.

(3) Der Verantwortliche ist für die Sicherheit der von ihm verantworteten Bereiche selbst zuständig, insbesondere für die Verwaltung seiner Nutzerkonten und Berechtigungen, die Wahl sicherer Passwörter, den Schutz seiner Endgeräte und die zeitnahe Entfernung von Zugängen ausgeschiedener Beschäftigter.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 1 genannten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der die Anforderungen des Art. 28 Abs. 4 DSGVO erfüllt und dem Unterauftragsverarbeiter im Wesentlichen die gleichen Pflichten auferlegt, die den Auftragsverarbeiter nach dieser Vereinbarung treffen. Er prüft vor Beauftragung die Zuverlässigkeit und die Eignung der getroffenen Schutzmaßnahmen und überprüft dies in angemessenen Abständen.

(3) Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Verantwortlichen mindestens vier (4) Wochen vorher in Textform oder in der Anwendung mit. Der Verantwortliche kann der Änderung binnen zwei (2) Wochen nach Zugang der Mitteilung aus einem wichtigen, datenschutzrechtlich begründeten Anlass widersprechen.

(4) Widerspricht der Verantwortliche, wird der Auftragsverarbeiter die Leistung nach Möglichkeit ohne den betroffenen Unterauftragsverarbeiter oder in einer angepassten Form erbringen. Ist dies mit zumutbarem Aufwand nicht möglich, ist jede Partei berechtigt, den Hauptvertrag mit einer Frist von einem (1) Monat zum Monatsende zu kündigen. Bereits gezahlte Entgelte für Zeiträume nach Wirksamwerden der Kündigung werden zurückerstattet.

(5) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt, ohne dass diese im Auftrag verarbeitete Daten verarbeiten, sowie reine Telekommunikationsleistungen.

(6) Dienste, die der Verantwortliche in seinem Onlineshop eigenständig aktiviert oder mit eigenen Vertragsdaten anbindet — insbesondere Zahlungs-, Versand-, Analyse- und Marketingdienste — sind keine Unterauftragsverarbeiter des Auftragsverarbeiters. Für diese Verarbeitungen ist der Verantwortliche selbst zuständig; er hat die erforderlichen Vereinbarungen und Rechtsgrundlagen selbst herzustellen. Anlage 1 weist diese Dienste gesondert aus.

§ 8 Verarbeitung in Drittländern

(1) Eine Verarbeitung im Auftrag außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder der Standarddatenschutzklauseln der Europäischen Kommission nebst erforderlicher zusätzlicher Schutzmaßnahmen.

(2) Anlage 1 weist für jeden Unterauftragsverarbeiter das Land der Verarbeitung und die Grundlage einer etwaigen Drittlandübermittlung aus.

§ 9 Betroffenenrechte

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Rechte betroffener Personen nach Art. 12 bis 22 DSGVO, soweit dies erforderlich ist und dem Verantwortlichen ohne diese Unterstützung nicht möglich ist. Die Software stellt hierzu Funktionen zur Einsicht, Berichtigung und Löschung von Daten bereit.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst, es sei denn, er ist hierzu vom Verantwortlichen angewiesen oder gesetzlich verpflichtet.

(3) Die Beantwortung von Anfragen betroffener Personen und die Einhaltung der gesetzlichen Fristen obliegen dem Verantwortlichen.

§ 10 Datenschutzverletzungen

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, in der Regel innerhalb von vierundzwanzig (24) Stunden nach Kenntnis, über jede Verletzung des Schutzes personenbezogener Daten, die im Auftrag verarbeitete Daten betrifft.

(2) Die Meldung enthält, soweit bekannt: eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie einen Ansprechpartner. Fehlende Angaben werden schrittweise nachgereicht.

(3) Der Auftragsverarbeiter ergreift unverzüglich angemessene Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

(4) Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen nimmt ausschließlich der Verantwortliche vor, soweit nichts anderes vereinbart ist.

§ 11 Nachweise und Kontrollrechte

(1) Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage nach, insbesondere durch die Beschreibung der technischen und organisatorischen Maßnahmen nach Anlage 2, durch aktuelle Prüfberichte oder Zertifikate seiner Unterauftragsverarbeiter sowie durch Auskünfte in Textform.

(2) Reichen diese Nachweise im Einzelfall nicht aus, kann der Verantwortliche eine Überprüfung verlangen. Sie ist nach Ankündigung mit angemessener Frist von mindestens zwei (2) Wochen, zu den üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und maximal einmal je Kalenderjahr durchzuführen. Anlassbezogene Überprüfungen bei konkreten Verdachtsmomenten oder auf Verlangen einer Aufsichtsbehörde bleiben davon unberührt.

(3) Überprüfungen dürfen nicht durch Wettbewerber des Auftragsverarbeiters durchgeführt werden. Prüfer sind zur Vertraulichkeit zu verpflichten. Ein Zugriff auf Daten anderer Kunden des Auftragsverarbeiters ist ausgeschlossen; die mandantengetrennte Architektur bleibt gewahrt.

(4) Für den Aufwand einer Vor-Ort-Prüfung, die über die Bereitstellung von Nachweisen nach Absatz 1 hinausgeht, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen, sofern die Prüfung nicht durch einen von ihm zu vertretenden Umstand veranlasst ist.

§ 12 Berichtigung, Löschung und Rückgabe nach Beendigung

(1) Der Auftragsverarbeiter verarbeitet die im Auftrag verarbeiteten Daten nach Beendigung des Hauptvertrages nur noch, soweit dies zur Erfüllung der Pflichten aus diesem Paragraphen oder aufgrund gesetzlicher Verpflichtungen erforderlich ist.

(2) Auf Anforderung des Verantwortlichen, die innerhalb von dreißig (30) Tagen nach Vertragsende gestellt werden kann, gibt der Auftragsverarbeiter die im Auftrag verarbeiteten Daten in einem gängigen, maschinenlesbaren Format zurück.

(3) Nach Ablauf dieser Frist, spätestens jedoch neunzig (90) Tage nach Vertragsende, löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten datenschutzgerecht und veranlasst die Löschung bei seinen Unterauftragsverarbeitern.

(4) Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht; diese werden bis zum Ablauf der Aufbewahrungsfrist gesperrt und ausschließlich zu diesem Zweck verarbeitet. Ausgenommen sind ferner Daten in Sicherungskopien, die im Rahmen des regulären Sicherungszyklus überschrieben werden; eine gezielte Wiederherstellung erfolgt nicht.

(5) Der Auftragsverarbeiter bestätigt die Löschung auf Anforderung in Textform.

§ 13 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, für das Vorliegen einer Rechtsgrundlage und für die Erfüllung der Informationspflichten gegenüber betroffenen Personen verantwortlich.

(2) Er stellt sicher, dass in die Plattform keine Daten eingegeben werden, für deren Verarbeitung ihm die Berechtigung fehlt, und dass keine besonderen Kategorien personenbezogener Daten eingegeben werden.

(3) Er ist verpflichtet, den Auftragsverarbeiter unverzüglich zu informieren, wenn er in dessen Leistungen einen Verstoß gegen datenschutzrechtliche Vorschriften feststellt.

(4) Er dokumentiert die von ihm erteilten Weisungen und ist für die Einhaltung seiner Pflichten aus Art. 30 und, soweit erforderlich, Art. 35 DSGVO selbst zuständig.

§ 14 Haftung

(1) Für die Haftung der Parteien im Verhältnis zueinander gelten die Regelungen des Hauptvertrages. Art. 82 DSGVO bleibt unberührt.

(2) Im Außenverhältnis gegenüber betroffenen Personen haften die Parteien nach den gesetzlichen Vorschriften.

§ 15 Schlussbestimmungen

(1) Änderungen dieser Vereinbarung bedürfen der Textform. Für Anpassungen, die aufgrund geänderter rechtlicher Anforderungen oder Vorgaben der Aufsichtsbehörden erforderlich werden, gilt das Verfahren nach den Allgemeinen Geschäftsbedingungen zur Änderung von Vertragsbedingungen entsprechend.

(2) Sollte eine Bestimmung dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Für den Gerichtsstand gelten die Regelungen des Hauptvertrages.

---

Anlage 1 — Unterauftragsverarbeiter

A. Genehmigte Unterauftragsverarbeiter

Der Auftragsverarbeiter kann darüber hinaus verbundene Unternehmen als Unterauftragsverarbeiter einsetzen; § 7 Abs. 3 gilt entsprechend.

B. Vom Verantwortlichen selbst angebundene Dienste (keine Unterauftragsverarbeiter)

Die folgenden Dienste werden vom Verantwortlichen mit eigenen Vertragsdaten angebunden oder eigenständig aktiviert. Der Verantwortliche ist für die Rechtsgrundlage, die erforderlichen Vereinbarungen mit dem jeweiligen Anbieter und für die Einholung etwaiger Einwilligungen selbst zuständig:

---

Anlage 2 — Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter betreibt keine eigenen Rechenzentren. Die physische Sicherheit der Infrastruktur wird durch die in Anlage 1 genannten Anbieter gewährleistet, die hierfür anerkannte Prüfstandards und Zertifizierungen vorweisen. Der Auftragsverarbeiter prüft diese Nachweise in angemessenen Abständen.

1. Vertraulichkeit

Zutritts- und Zugangskontrolle zur Infrastruktur

• Kein eigener Serverbetrieb; Nutzung von Infrastrukturanbietern mit zutrittsgesicherten Rechenzentren.
• Verwaltungszugänge zu den Infrastruktur- und Dienstleisterkonten sind auf einen dokumentierten, minimalen Personenkreis beschränkt und durch Mehr-Faktor-Authentifizierung geschützt.

Zugangskontrolle zur Anwendung

• Authentifizierung über einen etablierten Authentifizierungsdienst; Passwörter werden ausschließlich als Hashwerte gespeichert.
• Schutz der Anmelde- und Registrierungsformulare gegen automatisierte Zugriffe.
• Sitzungsverwaltung über kurzlebige, signierte Token; Bestätigungs- und Einladungslinks mit begrenzter Gültigkeit.
• Begrenzung der Anfragehäufigkeit (Rate Limiting) an sicherheitsrelevanten Endpunkten.

Zugriffskontrolle

• Rollen- und Rechtekonzept innerhalb des Kontos des Verantwortlichen (Inhaber, weitere Nutzer mit abgestuften Rechten); sensible Vorgänge wie die Verwaltung des Abonnements sind dem Inhaber vorbehalten.
• Durchsetzung der Zugriffsrechte auf Datenbankebene durch zeilenbasierte Zugriffsregeln (Row Level Security), nicht allein in der Anwendungslogik.
• Technische Tests, die die Trennung der Mandanten überprüfen.
• Privilegierte Datenbankzugänge werden ausschließlich serverseitig verwendet und gelangen nicht in den Browser.
• Besonders sensible Zugangsdaten, insbesondere die Versanddienstleister-Zugangsdaten des Verantwortlichen, werden verschlüsselt in einem gesonderten Schlüsselspeicher abgelegt.
• Administrative Zugänge zu Kundendaten sind auf eine ausdrücklich hinterlegte Liste berechtigter Personen beschränkt.

Trennungskontrolle

• Mandantenfähige Architektur: Daten aller Kunden werden logisch getrennt und durch zeilenbasierte Zugriffsregeln je Mandant isoliert.
• Getrennte Umgebungen für Produktion und Entwicklung; Entwicklung und Tests erfolgen nicht mit Produktivdaten.
• Dateispeicher mit getrennten, nicht öffentlichen Bereichen für sensible Dokumente; Rechnungsdokumente und Versandetiketten sind ausschließlich über zeitlich befristete, signierte Verweise zugänglich.

Pseudonymisierung und Verschlüsselung

• Verschlüsselte Übertragung aller Daten über TLS; erzwungene Transportverschlüsselung durch entsprechende Sicherheitsvorgaben im Browser (HSTS).
• Verschlüsselung der Daten im Ruhezustand durch die Infrastrukturanbieter.
• Kryptografisches Hashing personenbezogener Kennzeichen bei serverseitiger Übermittlung an Marketingdienste, soweit der Verantwortliche diese aktiviert.
• Zahlungsmittel-Daten werden nicht in der Plattform gespeichert.

2. Integrität

Eingabe- und Nachvollziehbarkeitskontrolle

• Protokollierung sicherheits- und geschäftsrelevanter Vorgänge, insbesondere von Statusänderungen an Bestellungen, vom Versand von Nachrichten und von Aktionen des KI-Assistenten.
• Zentrale Zusammenführung von Betriebsprotokollen zur Auswertung von Störungen und Sicherheitsvorfällen; Zugriff auf die Auswertung nur für berechtigte Personen.
• Idempotenz- und Ereignisprotokolle für eingehende Ereignisse externer Dienste.

Weitergabekontrolle

• Übermittlungen an Dienstleister erfolgen ausschließlich verschlüsselt und beschränkt auf die für den jeweiligen Zweck erforderlichen Daten.
• Sicherheitsvorgaben zum Schutz vor unerwünschter Einbettung und vor Inhaltsverfälschung (unter anderem Unterbindung der Einbettung in fremde Seiten, Unterdrückung der Inhaltstyp-Interpretation, restriktive Übermittlung von Herkunftsangaben). Eine Richtlinie zur Beschränkung erlaubter Inhaltsquellen (Content-Security-Policy) wird derzeit im Auswertungsmodus betrieben und schrittweise in den durchsetzenden Modus überführt.
• Bereinigung von durch Nutzer eingegebenen Inhalten vor der Ausgabe (Filterung auf eine Positivliste erlaubter Elemente und Verweisziele).

3. Verfügbarkeit und Belastbarkeit

• Regelmäßige, automatisierte Datensicherung durch den Datenbankanbieter mit der Möglichkeit der Wiederherstellung auf einen Zeitpunkt.
• Redundante, verwaltete Infrastruktur mit automatischer Skalierung.
• Überwachung des Betriebs durch Protokollauswertung; Behandlung von Störungen im Rahmen eines definierten Ablaufs.
• Trennung der Ausführungsumgebungen, so dass Fehler einzelner Funktionen nicht zum Ausfall des Gesamtsystems führen.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Verpflichtung der Beschäftigten auf die Vertraulichkeit und Unterrichtung über datenschutzrechtliche Anforderungen.
• Führung eines Verzeichnisses der Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
• Auswahl und regelmäßige Überprüfung der Unterauftragsverarbeiter anhand ihrer Nachweise und Zertifizierungen; Abschluss von Verträgen nach Art. 28 Abs. 4 DSGVO.
• Überprüfung von Änderungen an der Software vor der Übernahme in den Produktivbetrieb; Einsatz automatisierter Tests, insbesondere für die Mandantentrennung.
• Datenschutzfreundliche Voreinstellungen: Analyse- und Marketingfunktionen sind standardmäßig deaktiviert und werden erst nach Aktivierung durch den Verantwortlichen und nach Einwilligung der betroffenen Person wirksam.
• Definierter Ablauf zur Behandlung von Datenschutzverletzungen einschließlich Meldung an den Verantwortlichen nach § 10.