‍

Auftragsverarbeitungsvertrag (AVV)

Data Processing Agreement (DPA)

Vereinbarung zur Verarbeitung personenbezogener Daten im Auftraggemäß Art. 28 DSGVO

Agreement on the processing of personal data on behalf of acontroller pursuant to Art. 28 GDPR

Version 1.0 – Stand / As of: 26.08.2026

Maßgebliche Sprachfassung. Dieses Dokument enthält den  Auftragsverarbeitungsvertrag in deutscher und englischer Sprache in  synoptischer Darstellung. Rechtlich verbindlich ist ausschließlich die  deutsche Fassung (linke Spalte). Die englische Fassung (rechte Spalte) dient  allein der Lesbarkeit. Bei Abweichungen, Auslegungsfragen oder Widersprüchen  zwischen beiden Fassungen geht die deutsche Fassung vor.

Governing language. This document sets out the data processing agreement in German  and English in parallel columns. Only the German version (left-hand column)  is legally binding. The English version (right-hand column) is provided for  convenience only. In the event of any discrepancy, question of interpretation  or conflict between the two versions, the German version prevails. Please reach out to privacy@tentris.io if you want to have the english translation of the AVV (DPA).

----

zwischen

dem im Hauptvertrag  bezeichneten Vertragspartner der Tentris GmbH

als Verantwortlicher  (nachfolgend „Verantwortlicher“),

und

Tentris GmbH, Obernstraße  50, 33602 Bielefeld, Deutschland (HRB 46774, Amtsgericht Bielefeld)

als Auftragsverarbeiter  (nachfolgend „Auftragsverarbeiter“);

Verantwortlicher und  Auftragsverarbeiter gemeinsam die „Parteien“.

Präambel

Der Verantwortliche hat  den Auftragsverarbeiter auf Grundlage eines gesondert geschlossenen Vertrages  (nachfolgend „Hauptvertrag“) mit der Überlassung der Software TentrisDB  und/oder mit zugehörigen Leistungen – insbesondere Support-, Wartungs-,  Hosting-, Schulungs- oder Beratungsleistungen – beauftragt.

TentrisDB wird überwiegend  als On-Premises-Software in der vom Verantwortlichen selbst kontrollierten  Umgebung betrieben. Ein Zugriff des Auftragsverarbeiters auf personenbezogene  Daten des Verantwortlichen findet in diesem Fall nicht regelmäßig, sondern  nur anlassbezogen statt – etwa im Rahmen von Fernwartung oder Fehleranalyse.  Soweit ein solcher Zugriff möglich ist oder nicht sicher ausgeschlossen  werden kann, liegt eine Auftragsverarbeitung im Sinne des Art. 28 DSGVO vor.

Zur Wahrung der  Anforderungen des Art. 28 DSGVO schließen die Parteien den nachfolgenden  Auftragsverarbeitungsvertrag (nachfolgend die „Vereinbarung“), dessen  Erfüllung nicht gesondert vergütet wird, sofern dies nicht ausdrücklich  vereinbart ist.

§ 1  Begriffsbestimmungen

(1) Verantwortlicher ist  gem. Art. 4 Nr. 7 DSGVO die Stelle, die allein oder gemeinsam mit anderen  über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten  entscheidet.

(2) Auftragsverarbeiter  ist gem. Art. 4 Nr. 8 DSGVO eine natürliche oder juristische Person, Behörde,  Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des  Verantwortlichen verarbeitet.

(3) Personenbezogene Daten  sind gem. Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine  identifizierte oder identifizierbare natürliche Person (nachfolgend  „Betroffener“) beziehen; als identifizierbar wird eine natürliche Person  angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer  Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer  Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert  werden kann, die Ausdruck der physischen, physiologischen, genetischen,  psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser  Person sind.

(4) Besondere Kategorien  personenbezogener Daten sind Daten gem. Art. 9 DSGVO sowie Daten gem. Art. 10  DSGVO über strafrechtliche Verurteilungen und Straftaten.

(5) Verarbeitung ist gem.  Art. 4 Nr. 2 DSGVO jeder mit oder ohne Hilfe automatisierter Verfahren  ausgeführte Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit  personenbezogenen Daten.

(6) Verletzung des  Schutzes personenbezogener Daten ist ein Vorfall gem. Art. 4 Nr. 12 DSGVO.

(7) Aufsichtsbehörde ist  gem. Art. 4 Nr. 21 DSGVO eine von einem Mitgliedstaat gem. Art. 51 DSGVO  eingerichtete unabhängige staatliche Stelle.

§ 2  Gegenstand, Art, Zweck und Dauer der Verarbeitung

(1) Gegenstand der  Verarbeitung ist die Erbringung der im Hauptvertrag vereinbarten Leistungen.  Art und Zweck der Verarbeitung, die Arten der verarbeiteten personenbezogenen  Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage 1 und  Anlage 2 zu dieser Vereinbarung sowie ergänzend aus dem Hauptvertrag und  etwaigen zugehörigen Leistungsbeschreibungen.

(2) Der  Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im  Auftrag und nach dokumentierter Weisung des Verantwortlichen. Dem  Verantwortlichen obliegt die Beurteilung der Zulässigkeit der  Datenverarbeitung sowie die Wahrung der Rechte der Betroffenen.

(3) Die Bestimmungen  dieser Vereinbarung finden Anwendung auf alle Tätigkeiten, die mit dem  Hauptvertrag in Zusammenhang stehen und bei denen der Auftragsverarbeiter,  seine Beschäftigten oder von ihm Beauftragte mit personenbezogenen Daten in  Berührung kommen, die vom Verantwortlichen stammen oder für den  Verantwortlichen erhoben wurden.

(4) Die Laufzeit dieser  Vereinbarung richtet sich nach der Laufzeit des Hauptvertrages, sofern sich  aus den nachfolgenden Bestimmungen nicht darüber hinausgehende  Verpflichtungen oder Kündigungsrechte ergeben.

(5) Zur Konkretisierung  der beiderseitigen datenschutzrechtlichen Rechte und Pflichten gehen die  Regelungen dieser Vereinbarung den Regelungen des Hauptvertrags im Zweifel  vor. Dies gilt nicht für Regelungen zur Haftungsbegrenzung; insoweit gilt §  10 Abs. 6.

(6) Wird TentrisDB  ausschließlich lokal beim Verantwortlichen betrieben und ist ein Zugriff des  Auftragsverarbeiters auf personenbezogene Daten tatsächlich und technisch  ausgeschlossen, liegt keine Auftragsverarbeitung vor. Die Regelungen dieser  Vereinbarung gelten in diesem Fall vorsorglich und beanspruchen Geltung ab  dem Zeitpunkt, zu dem ein Zugriff erstmals möglich wird.

§ 3  Weisungsrecht

(1) Der  Auftragsverarbeiter darf personenbezogene Daten nur im Rahmen des  Hauptvertrags und gemäß den dokumentierten Weisungen des Verantwortlichen  verarbeiten; dies gilt auch für die Übermittlung personenbezogener Daten an  ein Drittland oder eine internationale Organisation. Wird der  Auftragsverarbeiter durch das Recht der Europäischen Union oder der  Mitgliedstaaten, dem er unterliegt, zu weiteren Verarbeitungen verpflichtet,  teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung  mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines  wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen des  Verantwortlichen werden anfänglich durch diese Vereinbarung festgelegt und  können vom Verantwortlichen danach in Schrift- oder Textform durch  Einzelweisungen geändert, ergänzt oder ersetzt werden. Der Verantwortliche  ist jederzeit zur Erteilung entsprechender Weisungen berechtigt; dies umfasst  Weisungen im Hinblick auf die Berichtigung, Löschung und Einschränkung der  Verarbeitung von Daten.

(3) Weisungen sind an info@tentris.io  oder an die im Hauptvertrag benannte Kontaktstelle zu richten. Beide Parteien  dokumentieren die erteilten Weisungen. Weisungen, die über die  hauptvertraglich vereinbarte Leistung hinausgehen, werden als Antrag auf  Leistungsänderung behandelt.

(4) Ist der  Auftragsverarbeiter der Ansicht, dass eine Weisung des Verantwortlichen gegen  datenschutzrechtliche Bestimmungen verstößt, hat er den Verantwortlichen  unverzüglich darauf hinzuweisen. Der Auftragsverarbeiter ist berechtigt, die  Durchführung der betreffenden Weisung auszusetzen, bis diese durch den  Verantwortlichen bestätigt oder geändert wird. Der Auftragsverarbeiter darf  die Durchführung einer offensichtlich rechtswidrigen Weisung ablehnen.

§ 4  Arten der Daten, Kreis der Betroffenen, Drittlandbezug

(1) Im Rahmen der  Durchführung des Hauptvertrags erhält der Auftragsverarbeiter Zugriff auf die  in Anlage 1 näher spezifizierten personenbezogenen Daten.

(2) Der Kreis der von der  Datenverarbeitung Betroffenen ist in Anlage 2 dargestellt.

(3) Der  Auftragsverarbeiter erbringt seine Leistungen grundsätzlich aus Deutschland  bzw. dem übrigen Europäischen Wirtschaftsraum (EWR).

(4) Eine Verarbeitung  personenbezogener Daten in einem Drittland (außerhalb des EWR) findet nur  statt, soweit sie in Anlage 4 ausgewiesen ist oder der Verantwortliche sie  angewiesen hat, und nur unter Einhaltung der Art. 44 ff. DSGVO – insbesondere  auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission  oder der Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914  nebst erforderlicher ergänzender Maßnahmen.

(5) Besondere Kategorien  personenbezogener Daten im Sinne des § 1 Abs. 4 werden nur verarbeitet,  soweit der Verantwortliche solche Daten in seiner Instanz speichert und dem  Auftragsverarbeiter im Support- oder Wartungsfall Zugriff hierauf gewährt.  Der Verantwortliche wird den Auftragsverarbeiter hierauf vorab hinweisen.

§ 5  Technische und organisatorische Maßnahmen

(1) Der  Auftragsverarbeiter ist verpflichtet, die gesetzlichen Bestimmungen über den  Datenschutz zu beachten und die aus dem Bereich des Verantwortlichen  erlangten Informationen nicht an Dritte weiterzugeben oder deren Zugriff  auszusetzen. Unterlagen und Daten sind gegen die Kenntnisnahme durch  Unbefugte unter Berücksichtigung des Stands der Technik zu sichern.

(2) Der  Auftragsverarbeiter hat die in Anlage 3 genannten technischen und  organisatorischen Maßnahmen zum angemessenen Schutz der Daten des  Verantwortlichen gem. Art. 32 DSGVO getroffen, die der Verantwortliche als  angemessen anerkennt. Eine Änderung der getroffenen Sicherheitsmaßnahmen  bleibt dem Auftragsverarbeiter vorbehalten, wobei sichergestellt bleibt, dass  das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.  Wesentliche Änderungen sind zu dokumentieren.

(3) Den bei der  Datenverarbeitung beschäftigten Personen ist es untersagt, personenbezogene  Daten unbefugt zu verarbeiten. Der Auftragsverarbeiter verpflichtet alle  Personen, die von ihm mit der Erfüllung dieses Vertrages betraut werden, vor  Aufnahme der Tätigkeit zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO),  sofern sie nicht bereits einer angemessenen gesetzlichen  Verschwiegenheitspflicht unterliegen, und stellt mit der gebotenen Sorgfalt  die Einhaltung dieser Verpflichtung sicher. Die Verpflichtung besteht auch  nach Beendigung des jeweiligen Beschäftigungsverhältnisses fort.

(4) Der  Auftragsverarbeiter hat einen externen Datenschutzbeauftragten benannt:

heyData GmbH, Schützenstr.  5, 10117 Berlin – datenschutz@heydata.eu – www.heydata.eu

(5) Datenschutzanfragen an  den Auftragsverarbeiter können zudem an privacy@tentris.io gerichtet werden.

§ 6  Informations- und Meldepflichten des Auftragsverarbeiters

(1) Der  Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, in der  Regel innerhalb von 48 Stunden nach Kenntniserlangung, über Verletzungen des  Schutzes personenbezogener Daten, den Verdacht solcher Verletzungen,  sicherheitsrelevante Vorfälle sowie sonstige Unregelmäßigkeiten bei der  Verarbeitung der personenbezogenen Daten des Verantwortlichen. Dasselbe gilt  für Prüfungen des Auftragsverarbeiters durch eine  Datenschutz-Aufsichtsbehörde, soweit sie die Verarbeitung für den  Verantwortlichen betreffen.

(2) Die Meldung enthält,  soweit dem Auftragsverarbeiter bekannt, zumindest folgende Informationen:

–    eine Beschreibung der Art der Verletzung, soweit möglich mit  Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie  der betroffenen Kategorien und der ungefähren Zahl der betroffenen  personenbezogenen Datensätze;

–    eine Beschreibung der vom Auftragsverarbeiter ergriffenen oder  vorgeschlagenen Maßnahmen zur Behebung der Verletzung und gegebenenfalls zur  Abmilderung ihrer möglichen nachteiligen Auswirkungen;

–    eine Beschreibung der wahrscheinlichen Folgen der Verletzung;

–    Name und Kontaktdaten einer Ansprechstelle für weitere  Informationen.

(3) Der  Auftragsverarbeiter trifft unverzüglich die erforderlichen Maßnahmen zur  Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen für die  Betroffenen, informiert hierüber den Verantwortlichen und ersucht um weitere  Weisungen. Meldungen an Aufsichtsbehörden oder Betroffene nach Art. 33, 34  DSGVO nimmt allein der Verantwortliche vor, soweit nicht ausdrücklich etwas  anderes vereinbart ist.

(4) Der  Auftragsverarbeiter ist verpflichtet, dem Verantwortlichen jederzeit  Auskünfte zu erteilen, soweit dessen Daten von einer Verletzung nach Absatz 1  betroffen sind, und ihn bei der Erfüllung seiner Melde- und  Benachrichtigungspflichten angemessen zu unterstützen.

(5) Über wesentliche  Änderungen der Sicherheitsmaßnahmen nach § 5 Abs. 2 hat der  Auftragsverarbeiter den Verantwortlichen zu unterrichten.

§ 7  Nachweis- und Kontrollrechte des Verantwortlichen

(1) Der  Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur  Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO  niedergelegten Pflichten erforderlich sind, und ermöglicht Überprüfungen  einschließlich Inspektionen sowie trägt zu diesen bei (Art. 28 Abs. 3 lit. h  DSGVO).

(2) Der Nachweis erfolgt  vorrangig in geeigneter dokumentarischer Form, insbesondere durch die  Dokumentation der technischen und organisatorischen Maßnahmen (Anlage 3),  durch aktuelle Testate, Zertifizierungen oder Berichte unabhängiger Prüfer  sowie durch schriftliche Auskünfte des Auftragsverarbeiters. Der  Auftragsverarbeiter beantwortet entsprechende Anfragen innerhalb einer  angemessenen Frist, in der Regel innerhalb von 30 Tagen.

(3) Genügen die nach  Absatz 2 vorgelegten Nachweise im Einzelfall nicht, kann der Verantwortliche  die Maßnahmen des Auftragsverarbeiters nach rechtzeitiger Ankündigung mit  einer Frist von mindestens vier Wochen zu den üblichen Geschäftszeiten selbst  oder durch einen zur Verschwiegenheit verpflichteten sachkundigen Dritten  prüfen lassen, sofern dieser nicht in einem Wettbewerbsverhältnis zum  Auftragsverarbeiter steht. Vor-Ort-Prüfungen finden grundsätzlich höchstens  einmal jährlich statt; darüber hinaus bei begründetem Anlass, insbesondere  nach einer Verletzung des Schutzes personenbezogener Daten oder auf Anordnung  einer Aufsichtsbehörde.

(4) Der Verantwortliche  führt Kontrollen nur im erforderlichen Umfang durch und stört die  Betriebsabläufe des Auftragsverarbeiters dabei nicht unverhältnismäßig.  Betriebs- und Geschäftsgeheimnisse des Auftragsverarbeiters sowie Daten  anderer Kunden sind zu wahren; der Auftragsverarbeiter kann den Zugang zu  entsprechenden Bereichen und Unterlagen beschränken.

(5) Für den mit  Überprüfungen nach Absatz 3 verbundenen Aufwand kann der Auftragsverarbeiter  eine angemessene Vergütung nach seinen jeweils gültigen Sätzen verlangen, es  sei denn, die Prüfung erfolgt aus einem vom Auftragsverarbeiter zu  vertretenden Anlass.

(6) Der Verantwortliche  dokumentiert das Kontrollergebnis und teilt es dem Auftragsverarbeiter mit.  Stellt er Fehler oder Unregelmäßigkeiten fest, informiert er den  Auftragsverarbeiter unverzüglich.

§ 8  Unterauftragsverarbeiter

(1) Der Verantwortliche  erteilt dem Auftragsverarbeiter seine allgemeine Genehmigung im Sinne von  Art. 28 Abs. 2 S. 1 DSGVO, im Rahmen seiner vertraglichen Verpflichtungen  weitere Auftragsverarbeiter (nachfolgend „Unterauftragsverarbeiter“)  hinzuzuziehen oder bereits beauftragte zu ersetzen. Die zum Zeitpunkt des  Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 4  aufgeführt; die jeweils aktuelle Liste ist abrufbar unter https://tentris.io/legal-avv.

(2) Der  Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte  Änderung in Bezug auf die Hinzuziehung oder die Ersetzung eines  Unterauftragsverarbeiters mindestens vier Wochen vor deren Wirksamwerden in  Textform an die vom Verantwortlichen benannte Kontaktadresse sowie durch  Aktualisierung der unter Absatz 1 genannten Liste. Der Verantwortliche kann  eine Änderungsbenachrichtigung zusätzlich per E-Mail abonnieren.

(3) Der Verantwortliche  kann gegen eine beabsichtigte Hinzuziehung oder Ersetzung aus wichtigem  datenschutzrechtlichem Grund innerhalb von zwei Wochen nach Zugang der  Information Einspruch erheben. Wird kein Einspruch erhoben, gilt die  Hinzuziehung oder Ersetzung als genehmigt. Liegt ein wichtiger  datenschutzrechtlicher Grund vor und ist eine einvernehmliche Lösung nicht  möglich, steht dem Verantwortlichen hinsichtlich der betroffenen Leistung ein  Sonderkündigungsrecht zum auf den Einspruch folgenden Monatsende zu.

(4) Der  Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig unter  besonderer Berücksichtigung ihrer Eignung im Hinblick auf Datenschutz und  Datensicherheit aus und verpflichtet sie vertraglich zu Maßnahmen, die den  Anforderungen dieser Vereinbarung mindestens gleichwertig sind (Art. 28 Abs.  4 DSGVO). Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten  nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für  die Einhaltung dieser Pflichten.

(5) Ein  Unterauftragsverhältnis im Sinne dieser Bestimmungen liegt nicht vor, wenn  der Auftragsverarbeiter Dritte mit Leistungen beauftragt, die als reine  Nebenleistungen anzusehen sind, etwa Post-, Transport- und Versandleistungen,  Reinigungsleistungen, Telekommunikationsleistungen ohne konkreten Bezug zu  den für den Verantwortlichen erbrachten Leistungen sowie Bewachungsdienste.  Wartungs- und Prüfleistungen stellen zustimmungspflichtige  Unterauftragsverhältnisse dar, soweit sie für IT-Systeme erbracht werden, die  auch im Zusammenhang mit der Leistungserbringung für den Verantwortlichen  genutzt werden.

(6) Für  Unterauftragsverarbeiter mit Sitz oder Verarbeitung außerhalb des EWR gilt §  4 Abs. 4 entsprechend.

§ 9  Anfragen und Rechte Betroffener

(1) Der  Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit  geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von  dessen Pflichten nach Art. 12 bis 22 sowie Art. 32 bis 36 DSGVO.

(2) Macht ein Betroffener  Rechte, etwa auf Auskunft, Berichtigung, Löschung oder Einschränkung der  Verarbeitung, unmittelbar gegenüber dem Auftragsverarbeiter geltend, reagiert  dieser nicht selbstständig, sondern leitet die Anfrage unverzüglich an den Verantwortlichen  weiter und wartet dessen Weisungen ab.

(3) Bei  On-Premises-Betrieb liegen die zur Erfüllung von Betroffenenrechten  erforderlichen Daten und Funktionen ausschließlich in der Sphäre des  Verantwortlichen. Die Unterstützung des Auftragsverarbeiters beschränkt sich  in diesem Fall auf technische Hinweise und die Bereitstellung geeigneter  Produktfunktionen.

§  10 Haftung

(1) Die Haftung der  Parteien gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO. Im  Innenverhältnis tragen die Parteien Schäden, Ersatzleistungen und Geldbußen  in dem Umfang, der ihrem jeweiligen Verantwortungsanteil an dem  schadensauslösenden Umstand entspricht.

(2) Der  Auftragsverarbeiter haftet unbeschränkt bei Vorsatz und grober  Fahrlässigkeit, bei der Verletzung von Leben, Körper oder Gesundheit sowie  bei Übernahme einer Garantie.

(3) Bei einfacher  Fahrlässigkeit haftet der Auftragsverarbeiter nur bei Verletzung einer  wesentlichen Vertragspflicht, deren Erfüllung die ordnungsgemäße Durchführung  des Vertrages überhaupt erst ermöglicht und auf deren Einhaltung der  Verantwortliche regelmäßig vertrauen darf, und der Höhe nach begrenzt auf den  bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden.

(4) Im Übrigen ist die  Haftung des Auftragsverarbeiters ausgeschlossen.

(5) Die vorstehenden  Haftungsbeschränkungen gelten auch zugunsten der gesetzlichen Vertreter,  Mitarbeiter und Erfüllungsgehilfen des Auftragsverarbeiters.

(6) Im Hauptvertrag  vereinbarte Haftungshöchstbeträge gelten auch für Ansprüche aus oder im  Zusammenhang mit dieser Vereinbarung, soweit dies gesetzlich zulässig ist.  Ansprüche aus dem Hauptvertrag und aus dieser Vereinbarung werden auf den  Haftungshöchstbetrag insgesamt nur einmal angerechnet.

§  11 Beendigung, Rückgabe und Löschung

(1) Nach Beendigung der  Verarbeitungstätigkeiten gibt der Auftragsverarbeiter dem Verantwortlichen  alle ihm überlassenen Unterlagen, Daten und Datenträger nach dessen Wahl  zurück oder löscht sie, sofern nicht nach Unionsrecht oder dem Recht eines  Mitgliedstaates eine Verpflichtung zur Speicherung der personenbezogenen  Daten besteht. Trifft der Verantwortliche innerhalb von 30 Tagen nach  Beendigung keine Wahl, löscht der Auftragsverarbeiter die Daten.

(2) Absatz 1 gilt auch für  Datensicherungen beim Auftragsverarbeiter. Daten in Backups werden im Rahmen  des regulären Backup-Zyklus, spätestens jedoch nach 90 Tagen, gelöscht; bis  dahin bleiben sie durch die Maßnahmen nach Anlage 3 geschützt und werden nicht  mehr aktiv verarbeitet.

(3) Der  Auftragsverarbeiter führt auf Anfrage den dokumentierten Nachweis der  ordnungsgemäßen Löschung. Der Verantwortliche hat das Recht, die vollständige  und vertragsgerechte Rückgabe oder Löschung der Daten in geeigneter Weise zu  kontrollieren.

(4) Der  Auftragsverarbeiter ist verpflichtet, auch über das Ende des Hauptvertrags  hinaus die ihm im Zusammenhang mit dem Hauptvertrag bekannt gewordenen Daten  vertraulich zu behandeln. Diese Vereinbarung bleibt über das Ende des  Hauptvertrags hinaus so lange gültig, wie der Auftragsverarbeiter über  personenbezogene Daten verfügt, die ihm vom Verantwortlichen zugeleitet  wurden oder die er für diesen erhoben hat.

§  12 Zustandekommen und Fassung dieser Vereinbarung

(1) Diese Vereinbarung  wird Bestandteil des Hauptvertrags, indem sie im Rahmen des Vertragsschlusses  einbezogen wird – insbesondere durch Verweis im Hauptvertrag, im Angebot, in  der Bestellung oder in der Auftragsbestätigung, durch ausdrückliche Zustimmung  in Textform oder durch Bestätigung im Rahmen eines elektronischen Bestell-  oder Registrierungsvorgangs.

(2) Einer eigenhändigen  Unterschrift bedarf es nicht. Art. 28 Abs. 9 DSGVO lässt die Dokumentation  der Vereinbarung in elektronischer Form ausdrücklich zu. Auf Wunsch stellt  der Auftragsverarbeiter eine von ihm unterzeichnete Ausfertigung zur  Gegenzeichnung bereit; die inhaltliche Geltung bleibt hiervon unberührt.

(3) Diese Vereinbarung  wird in der jeweils gültigen Fassung unter https://tentris.io/legal-avv  bereitgestellt und ist durch Versionsnummer und Stand eindeutig bezeichnet.  Maßgeblich ist die Fassung, die bei Einbeziehung nach Absatz 1 gültig war;  frühere Fassungen bleiben unter der genannten Adresse abrufbar.

(4) Der  Auftragsverarbeiter ist berechtigt, diese Vereinbarung anzupassen, soweit  dies aufgrund einer Änderung der Gesetzeslage, der Rechtsprechung,  verbindlicher Vorgaben von Aufsichtsbehörden oder der technischen  Weiterentwicklung der Leistungen erforderlich ist und die Änderung den  Verantwortlichen nicht unangemessen benachteiligt. Änderungen werden dem  Verantwortlichen mindestens sechs Wochen vor ihrem Inkrafttreten in Textform  mitgeteilt. Widerspricht der Verantwortliche nicht innerhalb von vier Wochen  nach Zugang der Mitteilung, gilt die neue Fassung als vereinbart; auf diese  Rechtsfolge wird in der Mitteilung gesondert hingewiesen. Im Falle eines  Widerspruchs gilt die bisherige Fassung fort; können sich die Parteien nicht  innerhalb von zwei Monaten einigen, steht beiden Parteien ein Kündigungsrecht  hinsichtlich der betroffenen Leistung zum Ende des übernächsten Monats zu.

(5) Der  Auftragsverarbeiter dokumentiert für jeden Verantwortlichen, welche Fassung  dieser Vereinbarung zu welchem Zeitpunkt einbezogen wurde.

§  13 Schlussbestimmungen

(1) Soweit der  Auftragsverarbeiter Unterstützungshandlungen nach dieser Vereinbarung nicht  ausdrücklich kostenlos durchführt, kann er dem Verantwortlichen dafür eine  angemessene Vergütung in Rechnung stellen, es sei denn, eigene Handlungen  oder Unterlassungen des Auftragsverarbeiters haben diese Unterstützung  unmittelbar erforderlich gemacht.

(2) Änderungen und  Ergänzungen dieser Vereinbarung bedürfen der Textform; § 12 Abs. 4 bleibt  unberührt. Dies gilt auch für den Verzicht auf dieses Formerfordernis. Der  Vorrang individueller Vertragsabreden bleibt hiervon unberührt.

(3) Sollten einzelne  Bestimmungen dieser Vereinbarung ganz oder teilweise unwirksam oder  undurchführbar sein oder werden, so wird hierdurch die Gültigkeit der übrigen  Bestimmungen nicht berührt.

(4) Die Anlagen 1 bis 4  sind Bestandteil dieser Vereinbarung.

(5) Diese Vereinbarung  unterliegt dem Recht der Bundesrepublik Deutschland unter Ausschluss des  UN-Kaufrechts. Ausschließlicher Gerichtsstand ist Bielefeld, soweit der  Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder  öffentlich-rechtliches Sondervermögen ist.

(6) Diese Vereinbarung  liegt in deutscher und englischer Sprache vor. Die englische Fassung dient  allein der Lesbarkeit. Bei Abweichungen zwischen beiden Fassungen ist die  deutsche Fassung maßgeblich.

‍

Anlage  1 – Gegenstand, Art und Zweck der Verarbeitung; Datenkategorien

1. Gegenstand und Art der  Verarbeitung

–    Überlassung und Pflege der Datenbanksoftware TentrisDB  einschließlich zugehöriger Komponenten;

–    Support-, Fehleranalyse- und Wartungsleistungen,  gegebenenfalls unter Fernzugriff auf die Instanz des Verantwortlichen;

–    Beratungs-, Integrations- und Schulungsleistungen im  Zusammenhang mit TentrisDB;

–    [soweit vereinbart:] Betrieb und Hosting einer  TentrisDB-Instanz für den Verantwortlichen.

2. Zweck der Verarbeitung

Erfüllung der im  Hauptvertrag vereinbarten Leistungen. Eine Verarbeitung zu eigenen Zwecken  des Auftragsverarbeiters findet nicht statt.

3. Dauer der Verarbeitung

Für die Laufzeit des  Hauptvertrags; im Support- und Wartungsfall beschränkt auf die zur  Bearbeitung des jeweiligen Vorgangs erforderliche Zeit. Im Übrigen gilt § 11.

4. Arten der verarbeiteten  personenbezogenen Daten

–    Bei rein lokalem On-Premises-Betrieb ohne Fernzugriff durch  den Auftragsverarbeiter: kein Zugriff auf die vom Verantwortlichen  verarbeiteten personenbezogenen Daten. Diese Vereinbarung gilt insoweit  vorsorglich (§ 2 Abs. 6).

–    Im Rahmen von Support- und Wartungsleistungen mit Fernzugriff  auf die Instanz des Verantwortlichen: die vom Verantwortlichen in der  Datenbank gespeicherten personenbezogenen Daten, jeweils im für den  Supportfall erforderlichen Umfang. Inhalt und Kategorien dieser Daten  bestimmt allein der Verantwortliche.

–    Technische Diagnose- und Logdaten, die der Verantwortliche zur  Fehleranalyse übermittelt (z. B. IP-Adressen, Zeitstempel, Benutzerkennungen,  Fehlermeldungen, Abfragen), einschließlich etwaiger darin enthaltener  Dateninhalte, soweit der Verantwortliche diese nicht vorab anonymisiert.

–    Kontakt- und Nutzungsdaten von Ansprechpartnern des  Verantwortlichen, soweit sie im Rahmen des Supports über die Instanz des  Verantwortlichen zugänglich sind. Kontaktdaten, die der Auftragsverarbeiter  zur Vertragsdurchführung selbst erhebt und in eigener Verantwortung  verarbeitet, sind nicht Gegenstand dieser Vereinbarung.

Anlage  2 – Kreis der Betroffenen

Im Rahmen von Support- und  Wartungsleistungen mit Fernzugriff können – abhängig von den durch den  Verantwortlichen tatsächlich in der Datenbank gespeicherten Daten –  insbesondere folgende Kategorien betroffener Personen erfasst sein:

–    Kunden und Interessenten des Verantwortlichen;

–    Beschäftigte des Verantwortlichen;

–    Nutzer der Systeme des Verantwortlichen;

–    Lieferanten und sonstige Geschäftspartner des  Verantwortlichen;

–    sonstige Dritte, deren Daten der Verantwortliche in TentrisDB  verarbeitet.

Anlage  3 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Anlage fasst die vom  Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen  im Sinne von Art. 32 Abs. 1 DSGVO zusammen und unterstützt den  Verantwortlichen bei der Erfüllung seiner Rechenschaftspflicht aus Art. 5  Abs. 2 DSGVO.

Die Maßnahmen beziehen  sich auf (a) die Unternehmens-IT des Auftragsverarbeiters, (b) den  Fernzugriff auf Instanzen des Verantwortlichen im Support- und Wartungsfall  und (c) – soweit vereinbart – vom Auftragsverarbeiter betriebene Instanzen.  Bei On-Premises-Betrieb verantwortet der Verantwortliche die Maßnahmen für  die von ihm betriebene Umgebung selbst.

1. Vertraulichkeit (Art.  32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

–    Zutritt zu den Geschäftsräumen (Obernstraße 50, 33602  Bielefeld) nur für Beschäftigte; Besucher werden empfangen und begleitet.

–    Schließsystem mit dokumentierter Schlüssel- bzw.  Transpondervergabe und Rückgabe bei Austritt.

–    In den Geschäftsräumen werden keine Server mit Kundendaten  betrieben; produktive Systeme laufen in Rechenzentren der in Anlage 4  genannten Anbieter.

–    Rechenzentren der eingesetzten Anbieter verfügen über  mehrstufige Zutrittskontrolle, Videoüberwachung und dokumentierte  Besucherregelungen.

–    Mobiles Arbeiten: Anweisung, in vom Wohnbereich abgetrennten  oder abschließbaren Räumen zu arbeiten, Bildschirme vor Einsichtnahme Dritter  zu schützen und Geräte bei Abwesenheit zu sperren.

1.2 Zugangskontrolle

–    Individuelle, personenbezogene Benutzerkonten; keine gemeinsam  genutzten Konten.

–    Zwei-Faktor-Authentifizierung für alle Dienste, die Zugang zu  Produktiv-, Kunden- oder Quellcodesystemen ermöglichen.

–    Passwortrichtlinie mit Mindestlänge und  Komplexitätsanforderungen; verpflichtende Nutzung eines Passwortmanagers;  keine Wiederverwendung von Passwörtern.

–    Zugriff auf Server ausschließlich über SSH mit  Public-Key-Authentifizierung; kein Passwort-Login, kein direkter Root-Login.

–    Fernzugriff auf Instanzen des Verantwortlichen nur über  verschlüsselte Kanäle (VPN, SSH-Tunnel oder vom Verantwortlichen  bereitgestellte Zugänge) und nur nach dessen Freigabe.

–    Vollverschlüsselung der Festplatten aller Notebooks und  mobilen Endgeräte; Verschlüsselung dienstlich genutzter Smartphones.

–    Automatische Bildschirmsperre sowie Anweisung zur manuellen  Sperrung beim Verlassen des Arbeitsplatzes.

–    Zeitnahe Installation von Sicherheitsupdates; Einsatz von  Schadsoftwareschutz auf Endgeräten.

1.3 Zugriffskontrolle

–    Rollenbasiertes Berechtigungskonzept nach dem Prinzip der  geringsten Rechte und des Need-to-know.

–    Die Zahl der Administratoren ist auf das erforderliche Minimum  begrenzt; Administratorrechte werden dokumentiert vergeben.

–    Support-Zugriffe auf Instanzen des Verantwortlichen erfolgen  anlassbezogen, zeitlich begrenzt und werden im Ticketsystem dokumentiert.

–    Keine Speicherung von Kundendaten auf lokalen Endgeräten;  sofern eine Kopie zur Fehleranalyse ausnahmsweise erforderlich ist, erfolgt  sie nur nach Weisung des Verantwortlichen und wird nach Abschluss der Analyse  gelöscht.

–    Protokollierung von Zugriffen auf Produktiv- und Kundensysteme  (Eingabe, Änderung, Löschung).

–    Dokumentierter Offboarding-Prozess mit vollständigem Entzug  sämtlicher Berechtigungen und Rückgabe der Arbeitsmittel.

–    Sichere Löschung bzw. Vernichtung von Datenträgern vor  Weitergabe oder Entsorgung.

1.4 Trennungskontrolle

–    Strikte Trennung von Entwicklungs-, Test- und  Produktivumgebungen.

–    Grundsätzlich keine Verwendung von Kundendaten in Entwicklung  und Test; es werden synthetische oder anonymisierte Datensätze eingesetzt.

–    Mandantentrennung: Instanzen unterschiedlicher Kunden werden  logisch bzw. physisch getrennt betrieben; getrennte Zugangsdaten je  Kundenumgebung.

–    Getrennte Verarbeitung von Daten, die zu unterschiedlichen  Zwecken erhoben wurden; Festlegung von Datenbankrechten.

1.5 Pseudonymisierung und  Datenminimierung

–    Diagnose- und Logdaten werden, soweit möglich, ohne  Personenbezug erhoben und ausgewertet.

–    Der Verantwortliche wird angehalten, übermittelte  Diagnosedaten vorab zu anonymisieren oder zu pseudonymisieren.

–    Es werden nicht mehr personenbezogene Daten verarbeitet, als  für den jeweiligen Zweck erforderlich ist.

2. Integrität (Art. 32  Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

–    Transportverschlüsselung nach dem Stand der Technik (TLS 1.2 /  1.3) für sämtliche Übertragungen personenbezogener Daten.

–    Fernzugriff ausschließlich über VPN oder SSH mit  Public-Key-Authentifizierung.

–    Verschlüsselung ruhender Daten auf Endgeräten, Servern und  Backups.

–    Kein Versand personenbezogener Daten per unverschlüsselter  E-Mail; Bereitstellung über gesicherte Übertragungswege bzw. das  Ticketsystem.

–    Verschlüsselte Firmen-WLANs (WPA2 bzw. WPA3 mit starkem  Schlüssel); getrenntes Gäste-WLAN.

–    Dokumentation, an welche Stellen personenbezogene Daten  übermittelt wurden.

2.2 Eingabekontrolle

–    Protokollierung administrativer & datenverändernder  Zugriffe mit Benutzerkennung und Zeitstempel.

–    Aufbewahrung der Protokolle für 6 Monate; Schutz der  Protokolle vor nachträglicher Veränderung.

–    Versionsverwaltung (Git) mit nachvollziehbarer  Änderungshistorie und Vier-Augen-Prinzip bei Änderungen am Produktcode.

–    Nachvollziehbare Change-Prozesse für Änderungen an  Konfigurationen produktiver Systeme.

3. Verfügbarkeit und  Belastbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

–    Regelmäßige, automatisierte Backups auf Grundlage eines  dokumentierten Backup- und Recoverykonzepts.

–    Regelmäßige Tests der Wiederherstellbarkeit.

–    Betrieb in Rechenzentren professioneller Anbieter mit  redundanter Stromversorgung (USV und Netzersatzanlage), Klimatisierung,  Brandfrüherkennung und Löschanlage.

–    Monitoring und Alerting für Verfügbarkeit und  sicherheitsrelevante Ereignisse.

–    Redundante Speicherung produktiver Daten.

–    Patch- und Schwachstellenmanagement einschließlich  automatisierter Prüfung eingesetzter Abhängigkeiten.

–    Schutz vor Schadsoftware; Firewalls und Netzsegmentierung.

4. Verfahren zur  regelmäßigen Überprüfung und Bewertung (Art. 32 Abs. 1 lit. d, Art. 25 DSGVO)

4.1 Datenschutz-Management

–    Bestellung eines externen Datenschutzbeauftragten (heyData  GmbH).

–    Einsatz einer Datenschutz-Management-Plattform (heyData).

–    Führung eines Verzeichnisses von Verarbeitungstätigkeiten  (Art. 30 DSGVO).

–    Verpflichtung aller Beschäftigten auf Vertraulichkeit und das  Datengeheimnis vor Aufnahme der Tätigkeit.

–    Mindestens jährliche Schulungen der Beschäftigten zu  Datenschutz und Informationssicherheit.

–    Überprüfung technischer & organisatorischer Maß-nahmen min.  einmal jährlich sowie anlassbezogen.

4.2  Incident-Response-Management

–    Definierter Prozess zur Erkennung, Bewertung und Meldung von  Verletzungen des Schutzes personenbezogener Daten.

–    Meldeprozesse gegenüber Aufsichtsbehörden (Art. 33 DSGVO) und  betroffenen Personen (Art. 34 DSGVO).

–    Unverzügliche Information betroffener Verantwortlicher nach §  6 dieser Vereinbarung.

–    Einbindung des Datenschutzbeauftragten in Sicherheitsvorfälle  und Datenpannen.

4.3 Privacy by Design und  Privacy by Default (Art. 25 DSGVO)

–    Berücksichtigung von Datenschutzanforderungen bereits bei der  Konzeption neuer Produktfunktionen.

–    Standardkonfiguration von TentrisDB mit Authentifizierung und  Transportverschlüsselung.

–    Support wird vorrangig ohne Zugriff auf Produktivdaten  erbracht; ein Datenzugriff erfolgt nur, wenn eine Fehleranalyse anders nicht  möglich ist.

–    Schulung der Beschäftigten zu Privacy by Design und Privacy by  Default.

4.4 Auftragskontrolle

–    Verarbeitung ausschließlich auf dokumentierte Weisung des  Verantwortlichen in Schrift- oder Textform.

–    Sorgfältige Auswahl von Unterauftragsverarbeitern,  insbesondere im Hinblick auf Datensicherheit; vorherige Prüfung und  Dokumentation der dort getroffenen Sicherheitsmaßnahmen.

–    Abschluss von Auftragsverarbeitungsverträgen nach Art. 28  DSGVO mit allen Unterauftragsverarbeitern.

–    Laufende Überprüfung der Unterauftragsverarbeiter und ihrer  Tätigkeiten.

–    Sicherstellung der Rückgabe oder Löschung von Daten nach  Beendigung des Auftrags, dokumentiert durch entsprechende Bestätigungen.

Anlage  4 – Aktuelle Unterauftragsverarbeiter

Nachfolgend sind die  Dienstleister aufgeführt, die im Rahmen der Leistungserbringung Zugang zu  personenbezogenen Daten des Verantwortlichen erhalten können. Die jeweils  aktuelle Fassung dieser Liste ist abrufbar unter https://tentris.io/legal-avv.

Nicht als  Unterauftragsverarbeiter eingesetzt

Der Auftragsverarbeiter  setzt für eigene Zwecke weitere Dienstleister ein, insbesondere ein  CRM-System (HubSpot), eine Buchhaltungs- und eine Vertragssoftware sowie  Werkzeuge für Entwicklung, Design und Marketing. Diese verarbeiten  ausschließlich Daten, für die der Auftragsverarbeiter selbst Verantwortlicher  ist – etwa Kontaktdaten von Ansprechpartnern zur Anbahnung und Abwicklung der  Geschäftsbeziehung. Sie erhalten keinen Zugang zu personenbezogenen Daten,  die der Verantwortliche in TentrisDB verarbeitet oder im Support- und  Wartungsfall zugänglich macht, und sind daher keine Unterauftragsverarbeiter  im Sinne dieser Vereinbarung. Informationen hierzu enthält die  Datenschutzerklärung des Auftragsverarbeiters.

Einsatz von KI-Diensten

Der Auftragsverarbeiter  übermittelt keine personenbezogenen Daten des Verantwortlichen an KI- oder  Sprachmodelldienste. Diagnose- und Logdaten werden vor einer etwaigen  Auswertung mit solchen Werkzeugen anonymisiert.

Sofern TentrisDB  ausschließlich On-Premises beim Verantwortlichen betrieben wird und kein  Fernzugriff stattfindet, werden im Rahmen dieser Vereinbarung keine  Unterauftragsverarbeiter eingesetzt.

‍