Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

Auftraggeber ist der Lizenznehmer des Agentenmanagers, Auftragnehmer die Philipp Herrmann DigElite Digitalagentur, Kreuzstraße 16 a, 49492 Westerkappeln. Firma, Anschrift und Lizenznummer des Auftraggebers ergeben sich aus seiner Lizenz; sie stehen in der Ausfertigung, die im Kundenbereich als PDF bereitliegt.

Unterschrieben wird dieser Vertrag nicht. Er wird im Bestellvorgang oder im Kundenbereich bestätigt; Fassung und Zeitpunkt der Bestätigung hält der Lizenzdienst fest und stellt sie dort als PDF bereit.

Vorbemerkung: Wer verarbeitet was — die Abgrenzung

Dies ist der wichtigste Abschnitt des Vertrages. Wer ihn überliest, wird den Rest falsch verstehen.

Die Software läuft auf dem Rechner des Auftraggebers. Alles, was der Auftraggeber mit ihr verarbeitet — Posteingang, Vorgänge, Kundenstamm, Kalender, Aufgaben, Buchhaltungsdaten, angebundene Konten und alles, was er sonst koppelt — liegt ausschließlich auf seinem Rechner. Der Auftragnehmer hat darauf keinen Zugriff. Für diese Daten ist der Auftraggeber Verantwortlicher; er schließt die nötigen Verträge mit seinen eigenen Anbietern selbst ab — Postfach, Google, Buchhaltung, Videodienst, Webspace, Hoster der eigenen Website und, falls er ihn nutzt, den Anbieter des Sprachmodells für personenbezogene Verarbeitung. Die Software führt ihm diese Pflichten im Bereich Auftragsverarbeitung selbst auf und hält je Verbindung fest, ob ein Vertrag vorliegt. Dieser Vertrag hier ersetzt keinen davon.

Ebenfalls Sache des Auftraggebers bleibt, wie er seine Installation absichert: Zugang zum Netz, Anmeldungen seiner Beschäftigten, Rechte am Rechner, Sicherung seiner Daten.

Der Auftragnehmer verarbeitet an genau drei Stellen im Auftrag:

1. Als Vermittler für den Fernzugang. Damit die iPhone-App den

Rechner des Auftraggebers von unterwegs erreicht, läuft der Verkehr über einen vom Auftragnehmer betriebenen Vermittlungsdienst. Der Nutzdatenstrom ist Ende zu Ende verschlüsselt; der Vermittler reicht verschlossene Umschläge weiter und kann sie nicht öffnen. Sichtbar bleiben Anschlusskennung, Richtung, Zeitpunkt und Umfang.

1. Für die Mitteilungen aufs iPhone. Beim Lizenzdienst des

Auftragnehmers liegt die von Apple vergebene Push-Kennung des Geräts nebst Gerätename, Umgebung, Rechnerkennung und den Zeitpunkten von Kopplung und letzter Anmeldung, gebunden an die Lizenz. Inhalte werden dabei nicht übertragen.

1. Bei einer Fernunterstützung, soweit der Auftraggeber sie im

Einzelfall anfordert und dem Auftragnehmer dabei Einblick in seine Installation gewährt.

Nicht Auftragsverarbeitung ist die Lizenz- und Bestellabwicklung. Name, Firma, Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer, E-Mail-Adresse, Bestellnummer und die IP-Adresse der Bestellung verarbeitet der Auftragnehmer als eigener Verantwortlicher, zur Erfüllung des Kaufvertrages nach Art. 6 Abs. 1 lit. b DSGVO und zur Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten nach Art. 6 Abs. 1 lit. c DSGVO. Dafür gilt die Datenschutzerklärung des Auftragnehmers, nicht dieser Vertrag. Beides wird gern vermengt; deshalb steht es hier ausdrücklich.

Ein Weg, den es technisch gibt, und der hierher gehört. Verliert der Auftraggeber das Passwort für den Verwaltungsbereich seiner Installation, kann der Auftragnehmer über die Lizenzverwaltung ein neues vergeben. Der Verwaltungsbereich zeigt Angaben zur Anlage, Betriebsprotokolle und Sicherungen — nicht den Datenbestand des Cockpits; die Sicherung enthält die Kundendaten des Auftraggebers nicht. Erreichbar ist der Bereich nur für den, der die Installation im Netz erreicht; von außen ist das nicht vorgesehen. Der Auftragnehmer nutzt diesen Weg ausschließlich auf Bitte des Auftraggebers. Dass ein neues Passwort vergeben wurde, steht im Betriebsprotokoll der Installation, wird dem Auftraggeber aber nicht eigens angezeigt.

§ 1 Gegenstand und Dauer des Auftrags

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen des zwischen den Parteien geschlossenen Hauptvertrages über die Überlassung der Software „Agentenmanager" einschließlich der zugehörigen iPhone-App. Der Hauptvertrag besteht aus den Allgemeinen Geschäftsbedingungen, den Lizenzbedingungen und der Leistungsbeschreibung des Auftragnehmers.

(2) Der Auftragnehmer verarbeitet personenbezogene Daten im Sinne des Art. 4 Nr. 2 DSGVO im Auftrag des Auftraggebers. Umfang, Art und Zweck der Verarbeitung, die Art der Daten und der Kreis der Betroffenen ergeben sich abschließend aus Anlage 1.

(3) Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Ihm obliegt die Beurteilung, ob die Verarbeitung rechtmäßig ist, und die Wahrung der Rechte betroffener Personen.

(4) Dieser Vertrag läuft so lange wie der Hauptvertrag. Endet der Hauptvertrag, endet auch dieser Vertrag; die Pflichten aus § 10 bleiben davon unberührt. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt für beide Seiten bestehen.

(5) Der Auftraggeber kann die Verarbeitung nach Anlage 1 Nr. 1 und Nr. 2 jederzeit beenden, indem er den Fernzugang beziehungsweise die Mitteilungen abschaltet und die gekoppelten Geräte entfernt. Die Software läuft danach ohne den Vermittler im eigenen Netz weiter. Der Hauptvertrag bleibt davon unberührt.

§ 2 Umfang, Art und Zweck der Verarbeitung, Art der Daten, Kreis der Betroffenen

(1) Umfang, Art und Zweck der Verarbeitung, die Art der verarbeiteten Daten und der Kreis der betroffenen Personen sind in Anlage 1 beschrieben.

(2) Die Verarbeitung ist auf die dort genannten Zwecke beschränkt. Zu eigenen Zwecken verarbeitet der Auftragnehmer diese Daten nicht; insbesondere wertet er sie nicht aus, gibt sie nicht weiter und nutzt sie nicht für Werbung oder für das Training von Modellen.

(3) Zur Klarstellung: Die Inhalte, die über den Vermittler laufen, sind Ende zu Ende verschlüsselt. Der Auftragnehmer kann sie nicht einsehen. Dass er sie gleichwohl weiterleitet, kann eine Verarbeitung im Sinne des Art. 4 Nr. 2 DSGVO sein; dieser Vertrag erfasst sie deshalb mit.

§ 3 Drittlandsübermittlung

(1) Die Verarbeitung findet ausschließlich in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Der Vermittler wird in Deutschland betrieben, der Lizenzdienst ebenfalls.

(2) Eine Ausnahme, auf die der Auftragnehmer ausdrücklich hinweist: Die Zustellung der Mitteilungen an das iPhone erfolgt über den Push-Dienst von Apple. Dabei wird die von Apple vergebene Push-Kennung nebst Thema, Zielbereich und gegebenenfalls einer Zahl an Apple übermittelt; Inhalte werden nicht übermittelt. Empfänger ist die Apple Distribution International Ltd. in Irland, für den Betrieb des Push-Dienstes gegebenenfalls die Apple Inc. in den Vereinigten Staaten. Das Schutzniveau stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO). Näheres in Anlage 3.

(3) Jede weitere Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Der Auftragnehmer teilt dem Auftraggeber vorab mit, um welchen Staat es sich handelt und worauf sich das Schutzniveau stützt.

(4) Fällt ein Angemessenheitsbeschluss weg, auf den sich eine Übermittlung stützt, unterrichtet der Auftragnehmer den Auftraggeber unverzüglich und nennt ihm die Garantie, auf die er die Übermittlung danach stützt, oder stellt sie ein.

§ 4 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Die Maßnahmen sind in Anlage 2 beschrieben. Anlage 2 nennt auch, wo derzeit nichts Belegbares vorhanden ist; diese Stellen sind kein Versehen, sondern der Stand.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie durch gleichwertige ersetzen; das Schutzniveau der Anlage 2 darf dabei nicht unterschritten werden. Wesentliche Änderungen hält er schriftlich fest und teilt sie dem Auftraggeber auf Anfrage mit.

(3) Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO). Der Auftragnehmer ist ein Einzelunternehmen; Zugriff hat der Inhaber. Setzt er weitere Personen ein, verpflichtet er sie zuvor schriftlich auf die Vertraulichkeit und macht sie mit den für sie geltenden Datenschutzbestimmungen vertraut. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

(4) Datenschutzbeauftragter. Ein Datenschutzbeauftragter ist nicht benannt. Die Voraussetzungen des § 38 BDSG liegen nicht vor: Es sind nicht ständig mindestens zwanzig Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Ansprechpartner in Datenschutzfragen ist der Inhaber, Philipp Herrmann, erreichbar unter herrmann@digelite.de.

(5) Regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d DSGVO). Der Auftragnehmer prüft die Wirksamkeit seiner Maßnahmen durch eine tägliche automatische Prüfroutine über fünf Bereiche und hält das Ergebnis schriftlich fest. Das Ergebnis des Stichtags steht in Anlage 2, Abschnitt 9 — einschließlich der Punkte, die dabei offen waren.

§ 5 Berichtigung, Einschränkung und Löschung von Daten

(1) Der Auftragnehmer berichtigt, schränkt ein oder löscht die Daten aus diesem Vertrag nur nach Weisung des Auftraggebers. Eine Ausnahme gilt für die Fälle, in denen er gesetzlich zur Verarbeitung verpflichtet ist.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, verweist er sie unverzüglich an den Auftraggeber und leitet das Ersuchen weiter. Er beantwortet es nicht selbst.

(3) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen betroffener Personen nach Kapitel III der DSGVO (Art. 28 Abs. 3 lit. e DSGVO). Für die Daten nach Anlage 1 Nr. 2 gilt zusätzlich: Der Auftraggeber kann jedes gekoppelte Gerät selbst entfernen — am Rechner, in der App und in seinem Kundenbereich. Damit ist die Push-Kennung beim Lizenzdienst gelöscht. Eine Löschung durch den Auftragnehmer ist dafür nicht nötig; auf Verlangen führt er sie gleichwohl aus.

(4) Für die Daten nach Anlage 1 Nr. 1 gilt: Anschlusskennung und öffentlicher Schlüssel entfallen mit dem Abschalten des Fernzugangs beziehungsweise mit dem Ende der Lizenz. IP-Adressen werden dort nicht gespeichert, sondern nur im Arbeitsspeicher gezählt.

§ 6 Unterauftragsverhältnisse

(1) Unterauftragsverhältnisse im Sinne dieser Regelung sind Leistungen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht dazu gehören Nebenleistungen wie Telekommunikation, Post- und Transportdienste, Wartung oder Benutzerservice.

(2) Der Auftraggeber genehmigt die Beauftragung der in Anlage 3 aufgeführten Unterauftragsverarbeiter. Sie gelten mit Abschluss dieses Vertrages als genehmigt.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Pflichten aus diesem Vertrag, insbesondere auf Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, Meldepflichten und Kontrollrechte (Art. 28 Abs. 4 DSGVO). Er bleibt dem Auftraggeber gegenüber für deren Verhalten verantwortlich.

(4) Will der Auftragnehmer einen Unterauftragsverarbeiter hinzuziehen oder ersetzen, teilt er das dem Auftraggeber vorher in Textform mit. Der Auftraggeber kann der Änderung innerhalb von vierzehn Tagen aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er nicht, gilt die Zustimmung als erteilt. Lässt sich bei einem Widerspruch keine einvernehmliche Lösung finden, steht dem Auftraggeber ein Sonderkündigungsrecht für den Hauptvertrag zu.

(5) Die Frist nach Absatz 4 verkürzt sich auf eine angemessene Frist, wenn außergewöhnliche Umstände ein Zuwarten unzumutbar machen — etwa der Ausfall eines Dienstleisters.

§ 7 Kontrollrechte des Auftraggebers

(1) Der Auftragnehmer weist dem Auftraggeber auf Anfrage nach, dass er die Pflichten aus diesem Vertrag einhält, und erteilt die dafür erforderlichen Auskünfte.

(2) Der Nachweis kann erfolgen durch

• die Vorlage dieser Anlage 2 nebst den Belegen, auf die sie sich stützt,
• aktuelle Prüfberichte oder Berichtsauszüge unabhängiger Stellen, die

der Auftragnehmer von seinen Unterauftragsverarbeitern erhält, oder

• eine Zertifizierung nach einem genehmigten Verfahren, soweit vorhanden.

(3) Der Auftraggeber kann darüber hinaus eigene Prüfungen im erforderlichen Umfang durchführen (Art. 28 Abs. 3 lit. h DSGVO). Prüfungen vor Ort kündigt er mit angemessener Frist an, führt sie zu üblichen Geschäftszeiten durch und beschränkt sie auf eine Prüfung je Kalenderjahr; anlassbezogene Prüfungen bleiben davon unberührt. Beauftragt er einen Dritten, verpflichtet er ihn zur Verschwiegenheit; steht der Dritte im Wettbewerb zum Auftragnehmer, kann der Auftragnehmer widersprechen.

(4) Für die Rechenzentren, in denen der Vermittler läuft, liegt ein Prüfbericht einer unabhängigen Stelle vor (Anlage 2, Abschnitt 1). Der Bericht ist als vertraulich gekennzeichnet; der Auftragnehmer legt ihn auf Anfrage vor.

(5) Der Auftraggeber trägt die Kosten einer von ihm veranlassten Prüfung, soweit sie über die Auskunft nach Absatz 1 hinausgeht und der Anlass nicht in einem Verstoß des Auftragnehmers liegt. Die Höhe orientiert sich am üblichen Stundensatz des Auftragnehmers.

§ 8 Mitteilungspflichten bei Verstößen

(1) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden ab eigener Kenntnis, wenn ihm eine Verletzung des Schutzes personenbezogener Daten des Auftraggebers bekannt wird. Die Frist ist kurz gehalten, weil der Auftraggeber selbst nur 72 Stunden hat (Art. 33 Abs. 1 DSGVO) und diese Frist ab seiner Kenntnis läuft.

(2) Die Meldung an den Auftraggeber enthält mindestens

• eine Beschreibung der Art der Verletzung, soweit möglich mit den

Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze,

• den Namen und die Kontaktdaten einer Anlaufstelle für weitere

Auskünfte,

• eine Beschreibung der wahrscheinlichen Folgen und
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen.

Sind nicht alle Angaben sofort verfügbar, meldet der Auftragnehmer zuerst und reicht nach. Eine unvollständige Meldung ist besser als eine späte.

(3) Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen bleiben Sache des Auftraggebers. Der Auftragnehmer unterstützt ihn dabei und stellt die Angaben bereit, die er hat.

(4) Der Auftragnehmer unterrichtet den Auftraggeber ebenso unverzüglich über Kontrollen und Maßnahmen einer Aufsichtsbehörde, soweit sie diesen Auftrag betreffen, sowie darüber, wenn die Daten des Auftraggebers bei ihm durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder Maßnahmen Dritter gefährdet werden. Dies gilt nicht, soweit er gesetzlich oder behördlich zur Verschwiegenheit verpflichtet ist.

(5) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde (Art. 28 Abs. 3 lit. f DSGVO).

§ 9 Weisungsrecht

(1) Der Auftragnehmer und jede ihm unterstellte Person verarbeiten die Daten aus diesem Vertrag ausschließlich im Rahmen des Auftrags und nach den Weisungen des Auftraggebers, es sei denn, sie sind nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt der Auftragnehmer dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Die Weisungen sind anfänglich durch diesen Vertrag und seine Anlagen festgelegt. Der Auftraggeber kann sie in Textform ändern, ergänzen oder ersetzen. Mündliche Weisungen bestätigt er unverzüglich in Textform. Weisungen, die über den Vertragsinhalt hinausgehen, behandelt der Auftragnehmer als Antrag auf Leistungsänderung.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er das dem Auftraggeber unverzüglich mit. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

(4) Weisungsberechtigt auf Seiten des Auftraggebers ist [Name, Funktion, E-Mail]. Ansprechpartner beim Auftragnehmer ist der Inhaber. Änderungen teilen die Parteien einander in Textform mit.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung der Verarbeitung löscht der Auftragnehmer alle Daten aus diesem Vertrag oder gibt sie zurück, je nachdem, was der Auftraggeber in Textform verlangt (Art. 28 Abs. 3 lit. g DSGVO). Das gilt auch für Kopien.

(2) Was das praktisch bedeutet, weil beim Auftragnehmer wenig liegt: Beim Vermittler entfallen Anschlusskennung und öffentlicher Schlüssel mit dem Ende der Lizenz; Inhalte werden dort nicht gespeichert. Betriebsprotokolle werden im Rahmen des Serverbetriebs überschrieben. Beim Lizenzdienst werden die Push-Kennungen mit den gekoppelten Geräten gelöscht. Eine Rückgabe von Inhalten kommt nicht in Betracht, weil der Auftragnehmer keine hat: Die Betriebsdaten liegen ohnehin beim Auftraggeber.

(3) Kopien oder Duplikate erstellt der Auftragnehmer nicht ohne Wissen des Auftraggebers. Ausgenommen sind Sicherheitskopien, soweit sie für einen ordnungsgemäßen Betrieb erforderlich sind, und Daten, die er gesetzlich aufbewahren muss.

(4) Nicht von der Löschung erfasst sind die Bestell-, Rechnungs- und Lizenzdaten, die der Auftragnehmer als eigener Verantwortlicher verarbeitet. Sie unterliegen den handels- und steuerrechtlichen Aufbewahrungsfristen (§ 147 AO, § 257 HGB) und sind nicht Gegenstand dieses Vertrages. Siehe die Vorbemerkung.

(5) Unterlagen, die dem Nachweis einer ordnungsgemäßen Verarbeitung dienen, bewahrt der Auftragnehmer entsprechend den jeweiligen Fristen über das Vertragsende hinaus auf.

§ 11 Haftung

(1) Für die Haftung gilt die Regelung des Hauptvertrages. Die Beschränkungen des Hauptvertrages gelten auch für Ansprüche aus diesem Vertrag, soweit das Gesetz es zulässt.

(2) Unberührt bleibt die Haftung nach Art. 82 DSGVO. Im Außenverhältnis haften Verantwortlicher und Auftragsverarbeiter nach Maßgabe dieser Vorschrift; im Innenverhältnis trägt jede Partei den Anteil, der ihrem Verantwortungsbeitrag entspricht.

(3) Unberührt bleibt ferner die Haftung für Vorsatz und grobe Fahrlässigkeit, für Schäden aus der Verletzung von Leben, Körper oder Gesundheit und für die Verletzung wesentlicher Vertragspflichten.

(4) Zahlt eine Partei ein Bußgeld oder einen Schadensersatz, der auf einem Verstoß der anderen Partei beruht, kann sie bei dieser Rückgriff nehmen.

§ 12 Schlussbestimmungen

(1) Textform. Änderungen und Ergänzungen dieses Vertrages einschließlich seiner Anlagen bedürfen der Textform. Dabei ist kenntlich zu machen, dass es sich um eine Änderung dieses Vertrages handelt. Das gilt auch für den Verzicht auf dieses Formerfordernis.

(2) Vorrang. Bei Widersprüchen gehen die Regelungen dieses Vertrages den Regelungen des Hauptvertrages vor, soweit es um den Datenschutz geht.

(3) Salvatorische Klausel. Ist eine Bestimmung dieses Vertrages unwirksam, bleibt die Wirksamkeit der übrigen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

(4) Rechtswahl und Gerichtsstand. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag ist der Sitz des Auftragnehmers, sofern der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist oder keinen allgemeinen Gerichtsstand in Deutschland hat. Vorrangige gesetzliche Zuständigkeiten bleiben unberührt.

(5) Anlagen. Die Anlagen 1 bis 3 sind Bestandteil dieses Vertrages.

Anlage 1 · Gegenstand, Art und Zweck der Verarbeitung, Art der Daten, Kreis der Betroffenen

1 · Vermittlung des Fernzugangs

2 · Mitteilungen auf das iPhone

3 · Fernunterstützung im Einzelfall

4 · Kreis der betroffenen Personen

• Der Auftraggeber selbst sowie seine gesetzlichen Vertreter und Ansprechpartner
• Beschäftigte des Auftraggebers, die die Software oder die App nutzen
• Kunden, Interessenten und sonstige Kontakte des Auftraggebers, soweit

deren Daten über den Fernzugang übertragen werden oder bei einer Fernunterstützung sichtbar werden

5 · Besondere Kategorien personenbezogener Daten

Für die Verarbeitungen nach Nr. 1 und Nr. 2 fallen keine Daten nach Art. 9 DSGVO an. Bei der Fernunterstützung nach Nr. 3 kann nicht ausgeschlossen werden, dass solche Daten sichtbar werden, wenn der Auftraggeber sie in seiner Installation führt. Der Auftraggeber entscheidet, was er zeigt.

Anlage 2 · Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Anlage beschreibt die Maßnahmen des Auftragnehmers für die drei Verarbeitungen aus Anlage 1. Sie beschreibt nicht die Sicherheit der Installation beim Auftraggeber; die verantwortet er selbst.

Was hier fehlt, fehlt mit Absicht. Diese Anlage nennt Verfahren und Grundsätze, keine Hostnamen, Kontonamen, Dateipfade, Portnummern oder Schlüsselbezeichnungen. Eine Maßnahmenbeschreibung, die jede Tür benennt, ist eine Anleitung für den, der hinein will. Wer diese Angaben für eine Prüfung braucht, erhält sie auf Anfrage einzeln und gesondert. Und was hier als offen steht, ist offen. Wo der Auftragnehmer für eine übliche Zeile nichts Belegbares hat, steht das da, statt gefüllt zu werden.

1 · Zutrittskontrolle (physischer Zutritt)

Der Vermittler läuft im Rechenzentrum Nürnberg des in Anlage 3 genannten Betreibers. Dessen Zutrittskontrolle — elektronisches Zutrittssystem mit Protokollierung, dokumentierte Vergabe von Zutrittsmedien, Videoüberwachung, Besucherregelung, Umzäunung des Geländes — ist Bestandteil des dort geschlossenen Auftragsverarbeitungsvertrages und wurde durch eine unabhängige Stelle geprüft: Prüfbericht der TÜV Rheinland i-sec GmbH, Bericht Nr. 63017991-01 vom 19.02.2026, der den Standort Nürnberg einschließt. Der Bericht ist als vertraulich gekennzeichnet und wird auf Anfrage vorgelegt.

Der Lizenzdienst läuft bei dem in Anlage 3 genannten Hoster in Deutschland. Dessen technische und organisatorische Maßnahmen sind Anlage des dort geschlossenen Auftragsverarbeitungsvertrages.

Offen: Für die eigenen Räume des Auftragnehmers gibt es keine gesonderte, schriftlich festgelegte Zutrittsregelung. Daten aus diesem Vertrag werden dort nicht dauerhaft gespeichert.

2 · Zugangskontrolle (Anmeldung an Systemen)

Die Verwaltung von Vermittler und Lizenzdienst erfolgt über die Kundenkonten bei den in Anlage 3 genannten Dienstleistern. Dort gelten Passwortpflicht mit Mindestanforderungen, die Möglichkeit der Zwei-Faktor-Anmeldung und eine nachvollziehbare Protokollierung der Zugriffs- und Änderungsvorgänge im Kundenkonto.

Zugangsdaten hält der Auftragnehmer im Schlüsselbund des Betriebssystems und nicht in Dateien; in den Konfigurationsdateien steht nur ein Platzhalter, den die Software beim Lesen auflöst.

Im Kundenbereich des Lizenzdienstes meldet sich der Auftraggeber mit eigenem Konto und eigenem Passwort an.

Offen: Ob bei allen Dienstleisterkonten des Auftragnehmers die Zwei-Faktor-Anmeldung eingeschaltet ist, ist nicht schriftlich dokumentiert.

3 · Zugriffskontrolle (wer welche Daten sehen darf)

Der Vermittler ist blind: Der Nutzdatenstrom ist Ende zu Ende verschlüsselt, der Schlüssel liegt nur bei App und Rechner. Der Auftragnehmer kann die Inhalte technisch nicht einsehen.

Beim Lizenzdienst liegt zu den Mitteilungen nur die Gerätekennung mit den Angaben aus Anlage 1 Nr. 2, gebunden an die Lizenz. Ein Konto im Kundenbereich sieht nur die eigenen Lizenzen und die eigenen Geräte.

Der Auftragnehmer hat keinen laufenden Zugang zur Installation des Auftraggebers. Der eine Weg, der technisch besteht — die Vergabe eines neuen Verwaltungs-Passworts über die Lizenzverwaltung —, ist in der Vorbemerkung beschrieben; er wird nur auf Bitte des Auftraggebers benutzt und zeigt Angaben zur Anlage, Betriebsprotokolle und Sicherungen, nicht den Datenbestand des Cockpits. Die Sicherung enthält die Kundendaten des Auftraggebers nicht.

Offen: Eine Protokollierung darüber, wann der Auftragnehmer diesen Weg benutzt hat, gibt es nur als Eintrag im Betriebsprotokoll der Installation. Eine Anzeige an den Auftraggeber gibt es nicht.

4 · Weitergabekontrolle (Transport und Übermittlung)

Zwischen App und Rechner wird ein Sitzungsschlüssel nach dem Verfahren X25519 vereinbart; die Inhalte werden mit ChaCha20-Poly1305 beziehungsweise AES-256-GCM verschlüsselt. Ein fortlaufender Zähler verhindert das Wiedereinspielen abgefangener Pakete. Bei der Kopplung bindet der Rechner den öffentlichen Schlüssel des Geräts; den Zufallswert wählt der Rechner, nicht das Gerät. Eine Einladung gilt einmal und sieben Tage.

Die Mitteilung an Apple enthält nur die Push-Kennung, das Thema, den Zielbereich und gegebenenfalls eine Zahl. Übertragen wird sie über die verschlüsselte Schnittstelle von Apple.

5 · Eingabekontrolle (Nachvollziehbarkeit)

Der Vermittler führt Betriebsprotokolle mit Zeitpunkt, Anschlusskennung, Ereignis und dem Kundenabdruck. Sie enthalten keine Inhalte und keine Klarnamen.

Der Lizenzdienst hält fest, wann eine Lizenz freigeschaltet, ein Gerät gekoppelt und ein Gerät entfernt wurde, und protokolliert den täglichen Lauf der Löschfristen.

Offen: Für die Betriebsprotokolle des Vermittlers ist keine Rotations- und Aufbewahrungsfrist schriftlich vereinbart. Sie werden im Rahmen des Serverbetriebs überschrieben; das ist gelebte Praxis, aber keine Vereinbarung.

6 · Auftragskontrolle (Steuerung der Unterauftragsverarbeiter)

Mit den beiden Dienstleistern aus Anlage 3, die für den Auftragnehmer verarbeiten, bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO; Stand und Fassung sind dort genannt. Die Software führt ein Verzeichnis dieser Verträge und hält je Verbindung fest, ob ein Vertrag vorliegt, fehlt oder nicht vorgesehen ist. Weisungen des Auftraggebers nimmt der Auftragnehmer in Textform entgegen (§ 9).

Offen: Mit Apple besteht kein gesonderter Vertrag nach Art. 28 DSGVO; siehe Anlage 3.

7 · Verfügbarkeit und Belastbarkeit

Der Vermittler ist eine Zusatzleistung. Eine bestimmte Verfügbarkeit schuldet der Auftragnehmer dafür nicht; Wartungsfenster und Störungen sind möglich. Das ist verkraftbar, und zwar aus einem Grund, der hier hingehört: Fällt der Vermittler aus, arbeitet die Installation des Auftraggebers unverändert weiter, und im eigenen Netz erreicht ihn die App weiterhin unmittelbar. Es geht nichts verloren, es geht nur der Weg von unterwegs verloren.

Beim Vermittler ist nichts zu sichern, weil dort nichts dauerhaft gespeichert wird. Die Push-Kennungen sind ersetzbar: Nach einem Verlust koppelt das Gerät neu.

Offen: Eine eigene, vom Auftragnehmer geführte Sicherung der Lizenzdaten ist nicht dokumentiert. Es gilt die Sicherung, die der Hoster im Rahmen seines Vertrages leistet.

8 · Trennungskontrolle

Die Daten werden je Lizenz und je Rechnerkennung getrennt geführt. Eine Mitteilung erreicht nur die Geräte des Rechners, der sie ausgelöst hat, auch wenn unter einer Lizenz mehrere Rechner laufen. Der Vermittler ordnet Verbindungen allein der Anschlusskennung zu; der Kundenabdruck ist ein Pseudonym.

Die eigentliche Trennung ergibt sich aus der Bauweise: Die Betriebsdaten jedes Auftraggebers liegen auf seinem eigenen Rechner und kommen mit denen anderer Kunden nirgends zusammen.

9 · Verfahren zur regelmäßigen Überprüfung

Der Auftragnehmer lässt täglich eine automatische Prüfroutine über fünf Bereiche laufen — Rechner samt Schlüsseln und Sicherungszielen, die eigenen Webauftritte, den Kundenbereich, das Lizenz-Plugin und die vollständige Testreihe der Software. Das Ergebnis wird schriftlich festgehalten. Daneben prüft die Software täglich jede eigene Datei gegen das unterschriebene Verzeichnis der ausgelieferten Fassung.

Stand des letzten Laufs vor der Erstellung dieses Musters (12.09.2026, 04:31): 53 Punkte bestanden, 5 bewusst offen, 2 offen. Die beiden offenen Punkte waren die damals noch leere Vertragsmappe — die beiden Verträge aus Anlage 3 wurden noch am selben Tag abgelegt — und gescheiterte Prüfungen der eigenen Testreihe. Zu den bewusst offenen Punkten zählt, dass der Auftragnehmer für die Entwicklung Sprachmodelle über gewöhnliche Abonnements nutzt. Personenbezogene Daten gehen dorthin nicht; dafür ist ein eigener, getrennter Weg vorgesehen, und ohne Vertrag mit einem Modellanbieter bleibt er abgeschaltet.

Anlage 3 · Genehmigte Unterauftragsverarbeiter

Mit Abschluss dieses Vertrages gelten die folgenden Unterauftragsverarbeiter als genehmigt (§ 6 Abs. 2).

Zu Nr. 3. Übermittelt werden ausschließlich die von Apple vergebene Push-Kennung sowie Thema, Zielbereich und gegebenenfalls eine Zahl. Inhalte werden nicht übermittelt. Das Schutzniveau für die Übermittlung in die Vereinigten Staaten stützt sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework.

Offen und ausdrücklich benannt: Für den Push-Dienst ist ein eigener Vertrag nach Art. 28 DSGVO bei Apple nicht vorgesehen; es gelten die Bedingungen des Entwicklerprogramms. Ob diese Bedingungen die Anforderungen des Art. 28 Abs. 3 DSGVO vollständig abbilden, hat der Auftragnehmer nicht geprüft. Wer darauf keinen Wert legen kann, schaltet die Mitteilungen ab; die Software arbeitet ohne sie vollständig weiter.

Nicht als Unterauftragsverhältnis geführt werden Nebenleistungen im Sinne des § 6 Abs. 1 — etwa Telekommunikation, Post und Wartung.

Wo die acht Punkte des Art. 28 Abs. 3 stehen

Für den, der das Papier gegen das Gesetz hält.