Logo
Kontaktieren Sie uns
Kontaktieren Sie uns

Vereinbarung zur Auftragsbearbeitung „Auftrag gemäß Art. 28 DSGVO“

zwischen

Auftraggeber

  • im Folgenden: Auftraggeber -

und

atrava GmbH, Ravensberger Str. 14, 33824 Werther

  • im Folgenden: Auftragsverarbeiter -

schließen folgenden Vertrag:

1. Allgemeine Bestimmungen und Auftragsgegenstand

  1. Diese Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO ergänzt die Allgemeinen Geschäftsbedingungen der atrava GmbH sowie den zwischen den Vertragsparteien geschlossenen Hauptvertrag. Soweit diese Vereinbarung keine abweichenden Regelungen enthält, gelten ergänzend die Allgemeinen Geschäftsbedingungen der atrava GmbH. Diese können unter www.atrava.de/agb in ihrer jeweils aktuellen Fassung eingesehen werden.
  2. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Auftraggebers gemäß Art. 28 DSGVO. Gegenstand, Art und Zweck der Verarbeitung sowie die Kategorien personenbezogener Daten und betroffener Personen ergeben sich aus Anlage 1 sowie dem jeweiligen Hauptvertrag.
  3. Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und trägt die Verantwortung für die Rechtmäßigkeit der Verarbeitung sowie die Wahrung der Rechte der betroffenen Personen.
  4. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern er nicht durch das Recht der Europäischen Union oder eines Mitgliedstaates zu einer abweichenden Verarbeitung verpflichtet ist. In diesem Fall teilt der Auftragsverarbeiter dem Auftraggeber die rechtliche Verpflichtung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.
  5. Die Verarbeitung erfolgt grundsätzlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums. Soweit Unterauftragsverarbeiter in Drittländern eingesetzt werden, erfolgt dies ausschließlich unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO.
  6. Die Vergütung der Leistungen richtet sich ausschließlich nach dem jeweiligen Hauptvertrag und ist nicht Gegenstand dieser Vereinbarung.

2. Vertragslaufzeit und Kündigung

  1. Diese Vereinbarung tritt mit Abschluss des Hauptvertrages bzw. mit Beginn der Verarbeitung personenbezogener Daten im Auftrag in Kraft und gilt für die Dauer der Auftragsverarbeitung.
  2. Die Vereinbarung endet automatisch mit Beendigung des Hauptvertrages, sofern keine gesetzlichen Aufbewahrungs- oder Nachweispflichten entgegenstehen.
  3. Eine ordentliche Kündigung dieser Vereinbarung ist ausgeschlossen. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.
  4. Ein wichtiger Grund liegt insbesondere vor, wenn eine Vertragspartei schwerwiegend oder wiederholt gegen die Bestimmungen dieser Vereinbarung oder gegen datenschutzrechtliche Vorschriften verstößt und den Verstoß trotz angemessener Fristsetzung nicht abstellt oder eine Fortsetzung der Zusammenarbeit aus datenschutzrechtlichen Gründen unzumutbar ist.
  5. Nach Beendigung der Auftragsverarbeitung gelten die Verpflichtungen zur Löschung oder Rückgabe personenbezogener Daten sowie die gesetzlichen Aufbewahrungspflichten fort.

3. Weisungen des Auftraggebers

  1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisungen des Auftraggebers, sofern keine gesetzliche Verpflichtung zu einer hiervon abweichenden Verarbeitung besteht.
  2. Hält der Auftragsverarbeiter eine Weisung des Auftraggebers für datenschutzrechtlich unzulässig oder rechtlich unzulässig, wird er den Auftraggeber unverzüglich hierauf hinweisen. Bis zur Bestätigung oder Änderung der Weisung ist der Auftragsverarbeiter berechtigt, deren Ausführung auszusetzen.
  3. Weisungen bedürfen mindestens der Textform. Weisungen können insbesondere per E-Mail oder über gemeinsam genutzte Projektmanagement- oder Kommunikationssysteme erteilt werden. Mündliche Weisungen sind auf Verlangen des Auftragsverarbeiters unverzüglich in Textform zu bestätigen.
  4. Der Auftraggeber benennt auf Verlangen eine oder mehrere weisungsberechtigte Personen. Änderungen der Weisungsberechtigung sind dem Auftragsverarbeiter unverzüglich mitzuteilen.
  5. Weisungen, die über den ursprünglich vereinbarten Leistungsumfang hinausgehen oder zusätzlichen Aufwand verursachen, sind gesondert zu vergüten, sofern der zusätzliche Aufwand nicht auf einem Pflichtverstoß des Auftragsverarbeiters beruht.

4. Kontrollrechte des Auftraggebers

  1. Der Auftraggeber ist berechtigt, die Einhaltung der gesetzlichen und vertraglichen Datenschutzpflichten durch den Auftragsverarbeiter in angemessenem Umfang zu überprüfen oder durch einen zur Verschwiegenheit verpflichteten Dritten überprüfen zu lassen.
  2. Der Auftragsverarbeiter stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Verpflichtungen aus Art. 28 DSGVO erforderlich sind. Hierzu gehören insbesondere geeignete Nachweise über die implementierten technischen und organisatorischen Maßnahmen sowie vorhandene Zertifizierungen oder Prüfberichte, soweit diese verfügbar sind.
  3. Vor-Ort-Kontrollen sind zulässig, soweit die vom Auftragsverarbeiter bereitgestellten Informationen, Zertifizierungen oder Prüfberichte für den erforderlichen Nachweis nicht ausreichen oder ein konkreter Anlass für eine weitergehende Kontrolle besteht. Sie sind grundsätzlich mit angemessener Vorlaufzeit während der üblichen Geschäftszeiten durchzuführen, sofern der Kontrollzweck einer vorherigen Ankündigung nicht entgegensteht.
  4. Der Auftraggeber trägt die Kosten einer Kontrolle selbst, soweit die Kontrolle keinen vom Auftragsverarbeiter zu vertretenden Verstoß gegen datenschutzrechtliche oder vertragliche Pflichten aufdeckt.
  5. Beide Vertragsparteien dokumentieren wesentliche Ergebnisse von Kontrollen sowie daraus resultierende Maßnahmen in geeigneter Form.

5. Allgemeine Pflichten des Auftragsverarbeiters

  1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der vertraglichen Vereinbarungen, der dokumentierten Weisungen des Auftraggebers sowie der geltenden datenschutzrechtlichen Vorschriften.
  2. Der Auftragsverarbeiter gewährleistet, dass alle mit der Verarbeitung personenbezogener Daten betrauten Personen auf Vertraulichkeit verpflichtet wurden oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen und ausschließlich im Rahmen ihrer jeweiligen Berechtigung Zugriff auf personenbezogene Daten erhalten.
  3. Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die zum Zeitpunkt des Vertragsschlusses bestehenden Maßnahmen ergeben sich aus Anlage 2.
  4. Der Auftragsverarbeiter überprüft die technischen und organisatorischen Maßnahmen regelmäßig und passt diese bei Bedarf an technische, organisatorische oder gesetzliche Entwicklungen an. Das Schutzniveau darf hierdurch nicht unterschritten werden.
  5. Soweit gesetzlich erforderlich, führt der Auftragsverarbeiter ein Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO.
  6. Ist der Auftragsverarbeiter gesetzlich zur Benennung eines Datenschutzbeauftragten verpflichtet, stellt er sicher, dass dieser ordnungsgemäß benannt wurde und dessen Kontaktdaten dem Auftraggeber auf Anfrage zur Verfügung gestellt werden.
  7. Die Verarbeitung personenbezogener Daten im Homeoffice oder an sonstigen außerhalb der Geschäftsräume gelegenen Arbeitsplätzen ist zulässig, sofern der Auftragsverarbeiter durch geeignete technische und organisatorische Maßnahmen sicherstellt, dass das vereinbarte Datenschutzniveau jederzeit eingehalten wird.

6. Technische und organisatorische Maßnahmen

  1. Der Auftragsverarbeiter hat geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO umgesetzt, um ein dem Risiko der Verarbeitung angemessenes Schutzniveau zu gewährleisten. Die zum Zeitpunkt des Vertragsschlusses bestehenden Maßnahmen sind in Anlage 2 beschrieben.
  2. Der Auftragsverarbeiter ist berechtigt, die technischen und organisatorischen Maßnahmen an den Stand der Technik sowie an technische, organisatorische oder gesetzliche Entwicklungen anzupassen, sofern das vereinbarte Schutzniveau hierdurch nicht unterschritten wird.
  3. Wesentliche Änderungen der technischen und organisatorischen Maßnahmen, die sich auf das Datenschutzniveau auswirken können, werden dem Auftraggeber auf Anfrage erläutert.

7. Unterstützungspflichten des Auftragsverarbeiters

  1. Der Auftragsverarbeiter unterstützt den Auftraggeber im Rahmen des Art. 28 Abs. 3 lit. e und f DSGVO bei der Erfüllung seiner datenschutzrechtlichen Pflichten, insbesondere bei der Wahrung der Rechte betroffener Personen sowie bei der Erfüllung der Pflichten nach Art. 32 bis 36 DSGVO, soweit dies unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen erforderlich ist.
  2. Soweit eine Unterstützung über den vertraglich vereinbarten Leistungsumfang hinausgeht und nicht auf einem Pflichtverstoß des Auftragsverarbeiters beruht, kann der hierdurch entstehende angemessene Aufwand gesondert nach den vereinbarten Vergütungssätzen oder nach Aufwand berechnet werden.
  3. Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, wenn er Kenntnis von Umständen erlangt, die eine ordnungsgemäße Verarbeitung personenbezogener Daten im Auftrag beeinträchtigen oder gefährden könnten.

8. Einsatz von Unterauftragsverarbeitern

  1. Der Auftraggeber erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern gemäß Art. 28 Abs. 2 DSGVO. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.
  2. Der Auftragsverarbeiter verpflichtet sich, sämtliche Unterauftragsverarbeiter sorgfältig auszuwählen und diesen vertraglich dieselben Datenschutzpflichten aufzuerlegen, die in dieser Vereinbarung zwischen Auftraggeber und Auftragsverarbeiter festgelegt sind. Dies gilt insbesondere hinsichtlich der Umsetzung geeigneter technischer und organisatorischer Maßnahmen gemäß Art. 32 DSGVO.
  3. Der Auftragsverarbeiter informiert den Auftraggeber vor der Beauftragung neuer oder dem Austausch bestehender Unterauftragsverarbeiter in Textform. Der Auftraggeber kann der Änderung innerhalb von 14 Kalendertagen nach Zugang der Mitteilung aus berechtigten datenschutzrechtlichen Gründen widersprechen.
  4. Erfolgt innerhalb der Frist kein Widerspruch, gilt die Zustimmung als erteilt.
  5. Im Falle eines berechtigten Widerspruchs werden die Vertragsparteien eine einvernehmliche Lösung anstreben. Ist dies nicht möglich und kann der Auftragsverarbeiter die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht oder nur mit unverhältnismäßigem Aufwand erbringen, sind beide Parteien berechtigt, den hiervon betroffenen Teil des Vertrages außerordentlich zu kündigen.
  6. Der Auftragsverarbeiter bleibt gegenüber dem Auftraggeber für die Einhaltung der datenschutzrechtlichen Verpflichtungen seiner Unterauftragsverarbeiter verantwortlich.
  7. Erfolgt eine Verarbeitung personenbezogener Daten durch Unterauftragsverarbeiter außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums, stellt der Auftragsverarbeiter sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO eingehalten werden.

9. Mitteilungspflichten des Auftragsverarbeiters

  1. Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich über Verletzungen des Schutzes personenbezogener Daten sowie über sonstige erhebliche Verstöße gegen diese Vereinbarung oder gegen datenschutzrechtliche Vorschriften, soweit diese die Verarbeitung personenbezogener Daten des Auftraggebers betreffen.
  2. Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erfüllung etwaiger Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO, soweit dies gesetzlich erforderlich ist.
  3. Anfragen von betroffenen Personen oder Aufsichtsbehörden, die sich auf die Verarbeitung personenbezogener Daten des Auftraggebers beziehen, wird der Auftragsverarbeiter unverzüglich an den Auftraggeber weiterleiten, sofern eine eigenständige Bearbeitung nicht gesetzlich vorgeschrieben ist.
  4. Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich über Kontrollen oder Maßnahmen einer Datenschutzaufsichtsbehörde, soweit diese die Verarbeitung personenbezogener Daten des Auftraggebers betreffen und eine Information rechtlich zulässig ist.

10. Vertragsbeendigung, Löschung und Rückgabe personenbezogener Daten

  1. Nach Beendigung der Auftragsverarbeitung wird der Auftragsverarbeiter sämtliche personenbezogenen Daten nach Wahl des Auftraggebers löschen oder zurückgeben und vorhandene Kopien löschen, sofern keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.
  2. Gesetzliche Aufbewahrungs- oder Nachweispflichten bleiben unberührt. Während der Dauer einer gesetzlichen Aufbewahrungspflicht dürfen die betreffenden personenbezogenen Daten ausschließlich zur Erfüllung dieser gesetzlichen Verpflichtungen verarbeitet werden.
  3. Der Auftragsverarbeiter bestätigt dem Auftraggeber auf Verlangen die Durchführung der Löschung oder Rückgabe der personenbezogenen Daten, soweit dem keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
  4. Erteilt der Auftraggeber innerhalb von 30 Kalendertagen nach Beendigung der Auftragsverarbeitung keine Weisung zur Rückgabe, ist der Auftragsverarbeiter berechtigt, die Daten und vorhandene Kopien datenschutzkonform zu löschen, soweit keine gesetzliche Speicherungspflicht besteht.

11. Vertraulichkeit

  1. Der Auftragsverarbeiter verpflichtet sich, sämtliche im Rahmen der Auftragsverarbeitung erlangten personenbezogenen Daten vertraulich zu behandeln und ausschließlich im Rahmen der vertraglichen Vereinbarungen sowie der dokumentierten Weisungen des Auftraggebers zu verarbeiten.
  2. Der Auftragsverarbeiter stellt sicher, dass alle mit der Verarbeitung personenbezogener Daten betrauten Personen vor Aufnahme ihrer Tätigkeit zur Vertraulichkeit verpflichtet wurden oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen.
  3. Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung dieses Vertrages fort.
  4. Der Auftragsverarbeiter dokumentiert die Verpflichtung der zur Verarbeitung befugten Personen und weist diese dem Auftraggeber auf berechtigtes Verlangen nach.

12. Schlussbestimmungen

  1. Änderungen oder Ergänzungen dieser Vereinbarung bedürfen mindestens der Textform, sofern nicht gesetzlich eine strengere Form vorgeschrieben ist.
  2. Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt. Anstelle der unwirksamen oder undurchführbaren Bestimmung gilt diejenige gesetzlich zulässige Regelung als vereinbart, die dem wirtschaftlichen Zweck der unwirksamen oder undurchführbaren Bestimmung am nächsten kommt. Gleiches gilt für etwaige Regelungslücken.
  3. Soweit diese Vereinbarung keine abweichenden Regelungen enthält, gelten ergänzend die Bestimmungen des zwischen den Vertragsparteien geschlossenen Hauptvertrages sowie die Allgemeinen Geschäftsbedingungen der atrava GmbH.
  4. Sämtliche Anlagen zu dieser Vereinbarung sind Bestandteil dieses Vertrages.

Anlage 1 – Auftragsdetails

1. Gegenstand der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der zwischen den Vertragsparteien vereinbarten Leistungen. Art, Umfang und Zweck der Verarbeitung ergeben sich aus dem jeweiligen Hauptvertrag, dem Angebot oder der Leistungsbeschreibung.

Die Verarbeitung erfolgt insbesondere im Rahmen folgender Dienstleistungen:

  • Suchmaschinenoptimierung (SEO)
  • Suchmaschinenwerbung (SEA)
  • Social Media Advertising
  • Online-Marketing-Beratung
  • Conversion-Optimierung
  • Webanalyse und Reporting
  • Tracking- und Kampagnenmanagement
  • Strategische Beratung
  • Unternehmensberatung
  • Technische Betreuung von Marketingplattformen
  • Supportleistungen im Zusammenhang mit den vereinbarten Dienstleistungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erfüllung der vertraglich vereinbarten Leistungen und nur im Rahmen der dokumentierten Weisungen des Auftraggebers.

2. Art der Verarbeitung

Je nach Leistungsumfang umfasst die Verarbeitung insbesondere:

  • Erheben
  • Erfassen
  • Organisieren
  • Strukturieren
  • Speichern
  • Anpassen
  • Auslesen
  • Verwenden
  • Offenlegen durch Übermittlung
  • Abgleichen
  • Einschränken
  • Löschen
  • Vernichten

gemäß Art. 4 Nr. 2 DSGVO.

3. Kategorien personenbezogener Daten

Je nach Leistungsumfang können insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden:

  • Stammdaten
  • Kontaktdaten
  • Kommunikationsdaten
  • Vertragsdaten
  • Rechnungs- und Zahlungsdaten
  • Nutzungsdaten
  • Online-Kennungen (z. B. Cookie-IDs, Client-IDs oder vergleichbare Identifikatoren)
  • IP-Adressen
  • Kampagnen- und Trackingdaten
  • Webanalyse- und Conversiondaten
  • Protokoll- und Logdaten
  • Sonstige personenbezogene Daten, die der Auftraggeber im Rahmen der Leistungserbringung bereitstellt

Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO und personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten gemäß Art. 10 DSGVO sind grundsätzlich nicht Gegenstand der Verarbeitung, sofern deren Verarbeitung nicht ausdrücklich vereinbart wurde.

4. Kategorien betroffener Personen

Die Verarbeitung kann insbesondere folgende Personengruppen betreffen:

  • Kunden des Auftraggebers
  • Interessenten
  • Besucher von Webseiten oder Onlineshops
  • Beschäftigte des Auftraggebers
  • Ansprechpartner des Auftraggebers
  • Lieferanten und Geschäftspartner
  • Bewerber, sofern dies Gegenstand der beauftragten Leistungen ist

5. Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des jeweiligen Hauptvertrages bzw. solange dies zur Erfüllung der vereinbarten Leistungen erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Anlage 2 – Technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO

I. Zweckbindung und Trennung

Zur Sicherstellung einer zweckgebundenen Verarbeitung personenbezogener Daten werden insbesondere folgende Maßnahmen umgesetzt:

  • Mandantenbezogene Trennung von Daten
  • Rollen- und Berechtigungskonzepte
  • Trennung produktiver und administrativer Daten
  • Beschränkung des Datenzugriffs auf den jeweiligen Verarbeitungszweck
  • Verarbeitung personenbezogener Daten ausschließlich im Rahmen dokumentierter Weisungen

II. Vertraulichkeit und Integrität

1. Zutrittskontrolle

Maßnahmen zur Verhinderung des unbefugten Zutritts zu Datenverarbeitungsanlagen:

  • Abschließbare Geschäftsräume
  • Schlüsselverwaltung
  • Zutrittsberechtigung nur für autorisierte Personen
  • Begleitung betriebsfremder Personen
  • Sichere Serverstandorte bei externen Rechenzentrumsbetreibern

2. Zugangskontrolle

Maßnahmen zur Verhinderung der unbefugten Nutzung von IT-Systemen:

  • Personalisierte Benutzerkonten
  • Sichere Passwortrichtlinien
  • Mehrfaktor-Authentifizierung (MFA), soweit vom jeweiligen Dienst unterstützt und aktiviert
  • Verpflichtung der Mitarbeiter zur Sperrung des Arbeitsplatzes beim Verlassen des Arbeitsplatzes
  • Verschlüsselte Endgeräte, soweit vom Betriebssystem oder der eingesetzten Hardware unterstützt und aktiviert
  • Aktuelle Betriebssystemschutzmechanismen (z. B. Microsoft Defender oder XProtect/Gatekeeper unter macOS)
  • Automatische Installation sicherheitsrelevanter Betriebssystem- und Softwareupdates, soweit technisch unterstützt
  • Administrative Berechtigungen werden ausschließlich an hierfür autorisierte Personen vergeben und auf das erforderliche Minimum beschränkt.

3. Zugriffskontrolle

Maßnahmen zur Beschränkung des Datenzugriffs:

  • Rollenbasierte Berechtigungen
  • Least-Privilege-Prinzip
  • Regelmäßige Überprüfung von Benutzerrechten
  • Sperrung nicht mehr benötigter Zugänge
  • Protokollierung administrativer Zugriffe
  • Verschlüsselte Datenspeicherung, soweit technisch möglich

4. Eingabekontrolle

Nachvollziehbarkeit der Datenverarbeitung durch:

  • Protokollierung relevanter Änderungen
  • Benutzerbezogene Nachvollziehbarkeit
  • Dokumentation administrativer Tätigkeiten
  • Versionierung, soweit vom eingesetzten System unterstützt

5. Auftragskontrolle

Zur Sicherstellung einer weisungsgemäßen Verarbeitung:

  • Abschluss von Auftragsverarbeitungsverträgen gemäß Art. 28 DSGVO
  • Auswahl geeigneter Unterauftragsverarbeiter
  • Regelmäßige Überprüfung datenschutzrelevanter Anforderungen
  • Verpflichtung sämtlicher Mitarbeiter auf Vertraulichkeit

III. Verfügbarkeit und Belastbarkeit

Zur Sicherstellung der Verfügbarkeit personenbezogener Daten werden insbesondere folgende Maßnahmen umgesetzt:

  • Regelmäßige Datensicherungen
  • Einsatz redundanter Cloud-Infrastrukturen, soweit verfügbar
  • Notfall- und Wiederherstellungsverfahren
  • Patchmanagement
  • Monitoring kritischer Systeme
  • Schutz vor Schadsoftware
  • USV und Infrastrukturmaßnahmen durch eingesetzte Rechenzentrumsbetreiber

IV. Verfahren zur regelmäßigen Überprüfung

Zur kontinuierlichen Verbesserung der Informationssicherheit werden insbesondere durchgeführt:

  • Regelmäßige Überprüfung der technischen und organisatorischen Maßnahmen
  • Sicherheitsupdates
  • Aktualisierung von Berechtigungskonzepten
  • Mitarbeitersensibilisierung
  • Überprüfung eingesetzter Unterauftragsverarbeiter
  • Dokumentation wesentlicher Sicherheitsmaßnahmen
  • Incident-Management-Prozesse bei Sicherheitsvorfällen

Anlage 3 – Unterauftragsverarbeiter gemäß Art. 28 DSGVO

Der Auftragsverarbeiter setzt zum Zeitpunkt des Vertragsschlusses folgende Unterauftragsverarbeiter ein:

  • alkima GmbH, Colmarer Str. 12, 65203 Wiesbaden, Deutschland
  • alkima Ltd., Level 2, Tower Business Centre, Tower Street, Swatar BKR 4013, Malta
  • awork GmbH, Großer Burstah 36–38, 20457 Hamburg, Deutschland
  • aifinyo AG (Billomat), Friedrichstraße 94, 10117 Berlin, Deutschland
  • Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, D04 E5W5, Irland (Google Workspace, Google Ads, Google Analytics, Looker Studio)
  • Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland (Microsoft Ads)
  • Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland (Meta Ads)
  • Amazon Europe Core S.à r.l., 38 Avenue John F. Kennedy, L-1855 Luxemburg (Amazon Ads)
  • SOWESPOKE AG, Eurotec-Ring 15, 47445 Moers, Deutschland (Unterstützung bei Microsoft Advertising)

Die vorstehend aufgeführten Unterauftragsverarbeiter sind zum Zeitpunkt des Vertragsschlusses eingesetzt. Der Auftragsverarbeiter ist berechtigt, weitere Unterauftragsverarbeiter einzusetzen oder bestehende zu ersetzen. Hierüber informiert der Auftragsverarbeiter den Auftraggeber vorab in Textform. Der Auftraggeber kann der Änderung innerhalb von 14 Kalendertagen nach Zugang der Mitteilung aus berechtigten datenschutzrechtlichen Gründen widersprechen. Erfolgt innerhalb dieser Frist kein Widerspruch, gilt die Änderung als genehmigt.

Weitere Informationen