Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

Dr. med. Alexander Hertel Einzelunternehmen Carl-Benz-Straße 88 68167 Mannheim

(nachfolgend auch „Auftragnehmer“)

Der vorliegende Auftragsverarbeitungsvertrag gilt für die Verarbeitungsmaßnahmen personenbezogener Daten durch den Auftragnehmer, die gegenüber Kunden (nachfolgend „Auftraggeber“) in Erfüllung des Hauptvertrages erbracht werden.

Präambel

Der Auftragnehmer erbringt für den Auftraggeber Leistungen gemäß dem zwischen ihnen geschlossenen Nutzungsvertrag (im Folgenden: „Hauptvertrag"). Teil der Durchführung des Hauptvertrags ist die Verarbeitung von personenbezogenen Daten im Sinne der Datenschutzgrundverordnung („DSGVO"). Zur Erfüllung der Anforderungen der DSGVO an derartige Konstellationen schließen die Parteien den nachfolgenden Auftragsverarbeitungsvertrag (auch „Vertrag“), der mit Unterzeichnung bzw. Wirksamwerden des Hauptvertrages zustande kommt.

§ 1 Gegenstand/Umfang der Beauftragung

(1) Im Rahmen der Zusammenarbeit der Parteien nach Maßgabe des Hauptvertrages hat der Auftragnehmer Zugriff auf personenbezogene Daten des Auftraggebers (nachfolgend „Auftraggeberdaten"). Diese Auftraggeberdaten verarbeitet der Auftragnehmer im Auftrag und nach Weisung des Auftraggebers im Sinne von Art. 4 Nr. 8 und Art. 28 DSGVO.

(2) Klarstellung: „Auftraggeberdaten“ im Sinne dieses Vertrages sind alle personenbezogenen Daten, die der Auftragnehmer im Rahmen der Leistungserbringung für den Auftraggeber verarbeitet (einschließlich der Inhalte, die der Auftraggeber oder dessen Endnutzer in die Systeme des Auftragnehmers eingeben, sowie daraus generierter personenbezogener Ausgaben/Reports). Nicht als „Auftraggeberdaten“ gelten (i) rein technische Betriebs- und Sicherheitsprotokolle (z. B. System- und Zugriffsdaten), die der Auftragnehmer zur Gewährleistung der Informationssicherheit, zur Fehleranalyse und zur Stabilität des Dienstes verarbeitet, soweit diese Datenverarbeitung für die sichere Bereitstellung der Leistung erforderlich ist, sowie (ii) aggregierte, anonymisierte Statistiken ohne Personenbezug. Soweit Betriebs-/Sicherheitsprotokolle ausnahmsweise personenbezogene Daten enthalten, verarbeitet der Auftragnehmer diese ausschließlich zu den vorgenannten Zwecken und unter Anwendung angemessener Schutzmaßnahmen.

(3) Die Verarbeitung der Auftraggeberdaten durch den Auftragnehmer erfolgt in der in den Anlagen beschriebenen Art sowie in dem dort spezifizierten Umfang und Zweck. Der Kreis der von der Datenverarbeitung betroffenen Personen wird dargestellt. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages.

(4) Ob die Leistungen des Auftragnehmers für die Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO geeignet sind, bedarf einer Risikobewertung durch den Auftraggeber. Soweit der Auftraggeber dem Auftragnehmer besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO zur Verarbeitung überlässt oder deren Verarbeitung im Rahmen der beauftragten Leistungen erfolgt, gilt: Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Auftraggebers und nur im in diesem Vertrag sowie seinen Anlagen beschriebenen Umfang. Der Auftragnehmer wendet hierfür ein dem Risiko angemessenes, erhöhtes Schutzniveau an (insbesondere restriktive Berechtigungskonzepte/Need-to-know, Verschlüsselung bei Übertragung, Mandantentrennung, Protokollierung privilegierter Zugriffe und Maßnahmen zur Sicherstellung der Vertraulichkeit). Der Auftragnehmer unterstützt den Auftraggeber nach Maßgabe dieses Vertrages bei der Durchführung einer ggf. erforderlichen Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und bei der Dokumentation der hierfür erforderlichen Informationen.

(5) Dem Auftragnehmer ist eine von den in den Anlagen genannten Verarbeitungen abweichende Verarbeitung von Auftraggeberdaten untersagt.

(6) Die Verarbeitung der Auftraggeberdaten findet grds. im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt.

(7) Eine Verarbeitung oder sonstige Übermittlung von Auftraggeberdaten in einem Drittland (außerhalb EU/EWR) oder eine Zugriffsmöglichkeit aus einem Drittland (z. B. Support/Administration) erfolgt nur mit vorheriger Zustimmung des Auftraggebers und nur unter Einhaltung der Anforderungen der Art. 44 bis 49 DSGVO.

(8) Soweit kein Angemessenheitsbeschluss einschlägig ist, vereinbaren die Parteien geeignete Garantien, insbesondere die Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914. Soweit ein Angemessenheitsbeschluss genutzt wird (z. B. EU-US Data Privacy Framework), darf sich der Auftragnehmer hierauf nur stützen, wenn der jeweilige Datenimporteur für den einschlägigen Mechanismus gültig zertifiziert/gelistet ist.

(9) Der Auftragnehmer unterstützt den Auftraggeber bei der Durchführung und Dokumentation der für Drittlandübermittlungen erforderlichen Bewertung (Transfer-Assessment) durch Bereitstellung der hierfür notwendigen Informationen (insbesondere zu Datenkategorien, Empfängern, Subunternehmerkette, Speicher-/Zugriffsorten, technischen und organisatorischen Maßnahmen). Erforderliche ergänzende Maßnahmen zur Absicherung der Übermittlung werden nach Maßgabe der EDPB-Empfehlungen zu ergänzenden Maßnahmen umgesetzt.

(10) Weiterübermittlungen (Onward Transfers) in weitere Drittländer sind nur zulässig, wenn auch hierfür die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind und der jeweilige Empfänger mindestens gleichwertige Verpflichtungen (insbesondere nach SCC oder Angemessenheitsbeschluss) übernimmt. Der Auftragnehmer dokumentiert Weiterübermittlungen in geeigneter Weise.

(11) Die Bestimmungen dieses Vertrages finden Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen. Gleiches gilt für alle Tätigkeiten, bei denen der Auftragnehmer und seine Beschäftigten oder durch den Auftragnehmer Beauftragte mit Auftraggeberdaten in Berührung kommen.

§ 2 Weisungsbefugnisse des Auftraggebers

(1) Der Auftragnehmer verarbeitet die Auftraggeberdaten im Rahmen der Beauftragung und im Auftrag und nach Weisung des Auftraggebers i.S.v. Art. 28 DSGVO (Auftragsverarbeitung). Der Auftraggeber hat das alleinige Recht, Weisungen über Art, Umfang, und Methode der Verarbeitungstätigkeiten zu erteilen (nachfolgend auch "Weisungsrecht"). Wird der Auftragnehmer durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem er unterliegt, zu weiteren Verarbeitungen verpflichtet, teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit.

(2) Weisungen werden vom Auftraggeber grundsätzlich schriftlich oder in elektronischer Form (E-Mail ausreichend) erteilt; mündlich erteilte Weisungen sind vom Auftragnehmer in elektronischer Form zu bestätigen.

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung des Auftraggebers gegen datenschutzrechtliche Bestimmungen verstößt, hat er den Auftraggeber darauf hinzuweisen. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung solange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird.

§ 3 Schutzmaßnahmen des Auftragnehmers

(1) Der Auftragnehmer ist verpflichtet, die gesetzlichen Bestimmungen über den Datenschutz zu beachten und die aus dem Bereich des Auftraggebers erlangten Informationen nicht an Dritte weiterzugeben oder deren Zugriff auszusetzen. Unterlagen und Daten sind gegen die Kenntnisnahme durch Unbefugte unter Berücksichtigung des Stands der Technik zu sichern.

(2) Ferner wird der Auftragnehmer alle Personen, die von ihm mit der Bearbeitung und der Erfüllung dieses Vertrages betraut werden (im Folgenden "Mitarbeiter" genannt), zur Vertraulichkeit verpflichten (Verpflichtung zur Vertraulichkeit, Art. 28 Abs. 3 lit. b DSGVO). Auf Verlangen des Auftraggebers wird der Auftragnehmer dem Auftraggeber die Verpflichtung der Mitarbeiter schriftlich oder in elektronischer Form nachweisen.

(3) Der Auftragnehmer wird seine innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er verpflichtet sich, alle geeigneten technischen und organisatorischen Maßnahmen zum angemessenen Schutz der Auftraggeberdaten gem. Art. 32 DSGVO, insbesondere die in Anlage 2 zu diesem Vertrag aufgeführten Maßnahmen, zu ergreifen und diese für die Dauer der Verarbeitung der Auftraggeberdaten aufrecht zu erhalten.

(4) Eine Änderung der getroffenen technischen und organisatorischen Maßnahmen bleibt dem Auftragnehmer vorbehalten, wobei er sicherstellt, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.

(5) Auf Verlangen des Auftraggebers wird der Auftragnehmer dem Auftraggeber die Einhaltung der technischen und organisatorischen Maßnahmen nachweisen.

(6) Der Auftragnehmer und die bei oder für ihn Beschäftigten ist berechtigt, die gem. des Hauptvertrags zu erbringenden Leistungen und damit auch die Verarbeitung personenbezogenen Daten aus seiner Hauptverwaltung, seinen Betriebstätten, Niederlassungen oder aus dem Home- und Mobile-Office heraus erbringen zu lassen, sofern sichergestellt ist, dass die Schutzmaßnahmen, die in diesem Vertrag definiert werden, hierbei eingehalten werden.

§ 4 Informations- und Unterstützungspflichten des Auftragnehmers

(1) Bei Störungen, Verdacht auf Datenschutzverletzungen oder Verletzungen vertraglicher Verpflichtungen des Auftragnehmers, Verdacht auf sicherheitsrelevante Vorfälle oder andere Unregelmäßigkeiten bei der Verarbeitung der Auftraggeberdaten informiert der Auftragnehmer den Auftraggeber unverzüglich nach Bekanntwerden.

(2) Die Information erfolgt als Erstmeldung unverzüglich, in der Regel binnen 24 Stunden, mindestens mit den zu diesem Zeitpunkt verfügbaren Kerninformationen (Art des Vorfalls, betroffene Systeme/Datenkategorien, erste Einschätzung der möglichen Auswirkungen, eingeleitete Sofortmaßnahmen, Kontaktstelle). Soweit nicht alle Angaben vollständig vorliegen, ergänzt der Auftragnehmer die Informationen ohne schuldhaftes Zögern in angemessenen Abständen (Updates), bis die Meldung vollständig ist.

(3) Dasselbe gilt für Prüfungen des Auftragnehmers durch Datenschutz-Aufsichtsbehörden, soweit rechtlich zulässig.

§ 5 Sonstige Verpflichtungen des Auftragnehmers

(1) Der Auftragnehmer ist, sofern die Voraussetzungen des Art. 30 DSGVO auf ihn zutreffen, verpflichtet, ein Verzeichnis zu allen Kategorien von im Auftrag des Auftraggebers durchgeführten Tätigkeiten der Verarbeitung gem. Art. 30 Absatz 2 DSGVO zu führen. Das Verzeichnis ist dem Auftraggeber auf Verlangen zur Verfügung zu stellen.

(2) Der Auftragnehmer ist verpflichtet, den Auftraggeber bei der Erstellung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO zu unterstützen.

(3) Der Auftragnehmer bestätigt, dass er – soweit eine gesetzliche Verpflichtung hierzu besteht – einen Datenschutzbeauftragten bestellt hat.

(4) Sollten die Auftraggeberdaten beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren, sofern ihm dies nicht durch gerichtliche oder behördliche Anordnung untersagt ist. Der Auftragnehmer wird in diesem Zusammenhang alle zuständigen Stellen unverzüglich darüber informieren, dass die Entscheidungshoheit über die Daten ausschließlich beim Auftraggeber als „Verantwortlichem“ im Sinne der DSGVO liegt.

§ 6 Subunternehmerverhältnisse

(1) Der Auftragnehmer darf die Verarbeitung personenbezogener Daten ganz oder teilweise durch weitere Auftragsverarbeiter (nachfolgend auch „Unterauftragnehmer“ oder „Subunternehmen“) erbringen lassen.

(2) Ein Subunternehmerverhältnis im Sinne dieser Bestimmungen liegt nicht vor, wenn der Auftragnehmer Dritte mit Dienstleistungen beauftragt, die als reine Nebenleistungen anzusehen sind. Dazu gehören z.B. Post-, Transport- und Versandleistungen, Reinigungsleistungen, Bewachungsdienste, Telekommunikationsleistungen ohne konkreten Bezug zu Leistungen, die der Auftragnehmer für den Auftraggeber erbringt sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen. Die Pflicht des Auftragnehmers, auch in diesen Fällen die Beachtung von Datenschutz und Datensicherheit sicherzustellen, bleibt unberührt.

(3) Der Auftragnehmer wird mit dem Unterauftragnehmer die in diesem Vertrag getroffenen Regelungen inhaltsgleich vereinbaren. Insbesondere müssen die mit dem Unterauftragnehmer zu vereinbarenden TOM ein gleichwertiges Schutzniveau aufweisen.

(4) Der Auftragnehmer hat mit den in Anlage 1 genannten Unternehmen Subunternehmerverhältnisse begründet, denen der Auftraggeber mit Abschluss dieses Auftragsverarbeitungsvertrages zustimmt. Die in der Anlage 1 genannten Unternehmen können durch den Auftragnehmer ergänzt oder verringert werden. Sollte der Auftragnehmer einen weiteren Unterauftragnehmer hinzufügen, so fügt er diese in die Anlage 1 ein und informiert den Auftraggeber hierüber spätestens 4 Wochen vor dem beabsichtigten Einsatz des Unterauftragnehmers. Sollte der Auftraggeber nicht mit der Hinzufügung des weiteren Unterauftragnehmers einverstanden sein, so hat er die Möglichkeit, innerhalb von 4 Wochen nach Zufügung gegenüber dem Auftragnehmer zu widersprechen. Widerspricht der Auftraggeber der Hinzufügung des weiteren Unterauftragnehmers, so hat der Auftragnehmer das Recht den Hauptvertrag inkl. sämtlicher Anlagen innerhalb von 2 Wochen zu kündigen, sollte keine alternative Lösung zur weiteren Zusammenarbeit gefunden werden und sollte die Hinzufügung des weiteren Unterauftragnehmers für das Unternehmen des Auftragnehmers von besonderer Wichtigkeit sein.

(5) Der Auftragnehmer schließt mit jedem Unterauftragnehmer vor dessen Einsatz einen Vertrag ab, der die Anforderungen des Art. 28 Abs. 3 und Abs. 4 DSGVO inhaltlich abbildet und ein gleichwertiges Schutzniveau (insbesondere hinsichtlich technischer und organisatorischer Maßnahmen) sicherstellt. Mit Wirksamwerden dieses Vertrages genehmigt der Auftraggeber die in diesem Vertrag sowie dessen Anlagen genannten Unterauftragnehmer. Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Erfüllung sämtlicher Pflichten aus diesem AVV auch bei Einsatz von Unterauftragnehmern voll verantwortlich.

(6) Bestandteil der Auftragsverarbeitungsverträge mit den Unterauftragnehmern ist insbesondere auch, dass die Unterauftragnehmer sicherstellen, ihrerseits angemessene und geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO wegen der von ihnen im Auftrag durchgeführten Verarbeitungen personenbezogener Daten getroffen zu haben.

§ 7 Kontrollrechte

(1) Der Auftraggeber ist berechtigt, die Einhaltung der Regelungen dieses Vertrages in angemessenem Umfang zu überprüfen. Der Auftragnehmer unterstützt Überprüfungen, indem er dem Auftraggeber auf Anfrage geeignete Nachweise zur Verfügung stellt (z. B. aktuelle TOM-Dokumentation, Zusammenfassungen von Prüfberichten, Zertifizierungen/Testate, soweit vorhanden) und angemessene Auskünfte erteilt.

(2) Überprüfungen erfolgen vorrangig als Remote-Audit (Dokumentenprüfung, Fragebogen, Videotermin). Vor-Ort-Inspektionen kommen nur in Betracht, wenn (i) ein Remote-Audit nicht ausreicht, (ii) ein konkreter Anlass besteht (z. B. schwerwiegender Sicherheitsvorfall) oder (iii) eine Aufsichtsbehörde dies verlangt, und sofern keine überwiegenden Geheimhaltungs- oder Sicherheitsinteressen entgegenstehen.

(3) Der Auftraggeber kündigt Vor-Ort-Inspektionen mit angemessener Frist (in der Regel mindestens 30 Kalendertage) an und berücksichtigt die Betriebsabläufe des Auftragnehmers. Inspektionen werden zu üblichen Geschäftszeiten durchgeführt. Der vom Auftraggeber beauftragte Prüfer darf nicht in einem Wettbewerbsverhältnis zum Auftragnehmer stehen und ist vorab schriftlich zur Vertraulichkeit zu verpflichten.

(4) Soweit der Auftraggeber wiederkehrende Routine-Audits ohne besonderen Anlass durchführt, sind diese auf höchstens ein Audit pro Kalenderjahr beschränkt. Weitergehende Audits bleiben bei Vorliegen eines Anlasses oder bei behördlicher Anforderung zulässig.

(5) Etwaige Kostenregelungen für Audits (insbesondere Vor-Ort-Inspektionen) werden transparent vereinbart; die Parteien berücksichtigen hierbei, dass Audit- und Nachweispflichten Teil der gesetzlich vorgesehenen Zusammenarbeit nach Art. 28 Abs. 3 lit. h DSGVO sind.

§ 8 Rechte Betroffener

(1) Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflichten nach Art. 12 bis 22 sowie Art. 32 bis 36 DSGVO. Der Auftragnehmer stellt dem Auftraggeber die hierfür erforderlichen Informationen unverzüglich, spätestens binnen 5 Werktagen zur Verfügung, soweit der Auftraggeber nicht selbst über die entsprechenden Informationen verfügt. In dringenden Fällen (insbesondere bei drohendem Fristablauf oder behördlichen Anfragen) bearbeitet der Auftragnehmer das Ersuchen vorrangig und stellt die verfügbaren Informationen so schnell wie möglich bereit.

(2) Soweit der Auftraggeber den Auftragnehmer anweist, Auftraggeberdaten zu berichtigen, zu löschen oder die Verarbeitung einzuschränken, setzt der Auftragnehmer die Weisung unverzüglich um; die Umsetzung erfolgt spätestens binnen 5 Werktagen, soweit nicht aufgrund der technischen Ausgestaltung (z. B. Backup-/Restore-Prozesse) eine längere, sachlich erforderliche Frist notwendig ist. In diesem Fall teilt der Auftragnehmer dem Auftraggeber die Gründe und die voraussichtliche Umsetzungsfrist unverzüglich mit.

(3) Macht ein Betroffener Rechte, etwa auf Auskunftserteilung, Berichtigung oder Löschung hinsichtlich seiner Daten, unmittelbar gegenüber dem Auftragnehmer geltend, wird der Auftragnehmer dieses Ersuchen an den Auftraggeber weiterleiten und wartet dessen Weisungen ab. Ohne entsprechende Einzelweisung wird der Auftragnehmer nicht mit der betroffenen Person in Kontakt treten.

§ 9 Laufzeit und Kündigung

Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet damit automatisch mit Beendigung des Hauptvertrags. Ist der Hauptvertrag ordentlich kündbar, gelten die Regelungen zur ordentlichen Kündigung für diesen Vertrag entsprechend. Sollte der Auftragnehmer vor Ablauf des Hauptvertrages keine Auftraggeberdaten mehr verarbeiten, endet dieser Vertrag ebenfalls automatisch.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Der Auftragnehmer wird dem Auftraggeber nach Beendigung des Hauptvertrags oder jederzeit auf dessen Verlangen alle ihm überlassenen Unterlagen, Daten und Datenträger zurückgeben oder auf Wunsch des Auftraggebers, sofern nicht eine gesetzliche Aufbewahrungsfrist besteht, vollständig und unwiderruflich löschen. Dies gilt auch für Vervielfältigungen der Auftraggeberdaten beim Auftragnehmer, wie etwa Datensicherungen, nicht aber für Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung der Auftraggeberdaten dienen. Solche Dokumentationen sind vom Auftragsnehmer für eine Dauer von 6 Monaten aufzubewahren und auf Verlangen an den Auftragsgeber herauszugeben.

(2) Der Auftragnehmer bestätigt dem Auftraggeber die Löschung/Rückgabe in Textform („Löschbestätigung“). Die Löschbestätigung enthält mindestens: (i) Datum der Löschung/Rückgabe, (ii) Beschreibung der betroffenen Datenkategorien und Systeme/Speicherorte, (iii) Aussage, ob und in welchem Umfang Daten in Backups/Archiven enthalten sind, sowie (iv) die Frist und das Verfahren, nach dem Backups/Archive turnusmäßig überschrieben oder gelöscht werden.

(3) Soweit eine sofortige Löschung aus technischen Gründen in Backups/Archiven nicht möglich ist, stellt der Auftragnehmer sicher, dass die Daten bis zur endgültigen Löschung nicht produktiv wiederhergestellt oder anderweitig genutzt werden, es sei denn, dies ist zur Störungsbeseitigung zwingend erforderlich; in diesem Fall erfolgt eine Wiederherstellung nur unter kontrollierten Bedingungen und dokumentiert.

(4) Der Auftragnehmer ist verpflichtet, auch über das Ende des Hauptvertrags hinaus die ihm im Zusammenhang mit dem Hauptvertrag bekannt gewordenen Daten vertraulich zu behandeln.

§ 11 Haftung

(1) Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. Eine Haftung des Auftragnehmers gegenüber dem Auftraggeber wegen Verletzung von Pflichten aus diesem Vertrag oder dem Hauptvertrag bleibt hiervon unberührt.

(2) Die Parteien stellen sich jeweils von der Haftung frei, wenn eine Partei nachweist, dass sie in keinerlei Hinsicht für den Umstand, durch den der Schaden bei einem Betroffenen eingetreten ist, verantwortlich ist. Dies gilt im Falle einer gegen eine Partei verhängte Geldbuße entsprechend, wobei die Freistellung in dem Umfang erfolgt, in dem die jeweils andere Partei Anteil an der Verantwortung für den durch die Geldbuße sanktionierten Verstoß trägt.

§ 12 Vertraulichkeit & Datengeheimnis

(1) Der Auftragnehmer verpflichtet sich, die gleichen Geheimnisschutzregeln zu beachten, wie sie dem Auftraggeber obliegen.

(2) Es besteht eine Verschwiegenheitspflicht für die Mitarbeiter des Auftragnehmers und durch ihn beauftragte Dritte. Der Auftragnehmer hat die bei der Verarbeitung von Auftraggeberdaten beschäftigten Personen gemäß Art. 28 Abs. 3 lit. b DSGVO schriftlich auf die Vertraulichkeit zu verpflichten. Dies ist nicht erforderlich, wenn die beschäftigten Personen bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Auftragnehmer wird die in dieser Ziffer niedergelegte Verpflichtung schriftlich dokumentieren und sie auf Verlangen des Auftraggebers diesem vorlegen.

(3) Der Auftragnehmer bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften bekannt sind. Der Auftragnehmer sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und er diese auf die Einhaltung der geltenden Datenschutzvorschriften zu verpflichten. Er überwacht die Einhaltung der datenschutzrechtlichen Vorschriften.

(4) Diese in dieser Ziffer geregelten Verschwiegenheitspflichten besteht auch nach der Beendigung des Vertragsverhältnisses fort.

(5) Darüber hinaus ist der Auftragnehmer neben den jeweils geltenden gesetzlichen Bestimmungen (insbesondere § 3 TDDDG, § 203 StGB, §§ 4, 23 GeschGehG sowie ggf. besondere berufsständische Verschwiegenheitspflichten) auch verpflichtet, alle Informationen und Daten, die ihm im Rahmen der vertraglich vereinbarten Leistungen zur Kenntnis gelangen, geheim zu halten und nicht an Dritte weiterzugeben (vertrauliche Informationen). Vertrauliche Informationen sind insbesondere Geschäfts- und Betriebsgeheimnisse, Vertragsschlüsse, technische oder kaufmännische Informationen jedweder Art bzw. anderweitige Angaben, die als vertraulich bezeichnet oder ihrer Natur nach als vertraulich anzusehen sind. Dies gilt insbesondere auch für:

Namen, Anschriften sowie die persönlichen, rechtlichen und wirtschaftlichen Verhältnisse aller Kunden vom Auftraggeber und die persönlichen, rechtlichen und wirtschaftlichen Verhältnisse vom Auftraggeber und aller anderen für Auftraggeber tätigen Personen.

Eine Information ist nicht als vertraulich anzusehen, wenn sie zu der Zeit, zu der der Auftragnehmer von der Information Kenntnis erlangt hat, bereits öffentlich bekannt gewesen ist. Ebenso als nicht vertraulich sind solche Informationen anzusehen, die zeitlich später mit Zustimmung des Auftraggebers öffentlich bekannt geworden sind bzw. bekannt gemacht wurden.

(6) Der Auftragnehmer verpflichtet sich, sämtliche Mitarbeiter, die im Rahmen der Tätigkeit für Auftraggeber Kenntnis von vorgenannten vertraulichen Informationen von Auftraggeber erlangen, ebenso wie sich selbst zu verpflichten.

(7) Beauftragt der Auftragnehmer Dritte, hat er dafür Sorge zu tragen, dass die Forderungen der Absätze 1 bis 6 entsprechend umgesetzt werden.

§ 13 Schlussbestimmungen

(1) Die Parteien sind sich darüber einig, dass die Einrede des Zurückbehaltungsrechts durch den Auftragnehmer iSd § 273 BGB hinsichtlich der zu verarbeitenden Daten und der zugehörigen Datenträger ausgeschlossen ist.

(2) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der elektronischen Form.

(3) Die Regelungen dieses Vertrags gehen im Zweifel den Regelungen des Hauptvertrags vor. Sollten sich einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise als unwirksam oder undurchführbar erweisen oder infolge Änderungen einer Gesetzgebung nach Vertragsabschluss unwirksam oder undurchführbar werden, wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung soll die wirksame und durchführbare Bestimmung treten, die dem Sinn und Zweck der nichtigen Bestimmung möglichst nahekommt.

(4) Diese Vereinbarung unterliegt deutschem Recht. Ausschließlicher Gerichtsstand ist der Sitz des Auftragnehmers.

Anlagen

Anlage 1 — Festlegungen zum Vertrag

Anlage 2 — Technische und organisatorische Maßnahmen des Auftragnehmers (Art. 32 DSGVO)

Anlage 1 - Festlegungen zum Vertrag

Gegenstand und Dauer des Auftrages

Übersicht der Anforderungen und Festlegungen

Hauptvertrag — Nutzungsvertrag über die Plattform „Journal Club AI“

Gegenstand des Auftrages — Plattform zur KI-gestützten Aufbereitung und strukturierten Zusammenfassung medizinischer Fachartikel sowie zur Rückmeldung zu eigenen, unveröffentlichten Manuskripten.

Zweck der Datenerhebung, Datenverarbeitung oder Datennutzung — Zur Erfüllung der Pflichten des Auftragnehmers aus dem Hauptvertrag werden personenbezogene Daten aus dem Herrschaftsbereich des Auftraggebers durch den Auftragnehmer vollumfänglich i.S.d. Art. 4 Nr. 2 DSGVO verarbeitet, insbesondere soweit jeweils erforderlich erhoben, gespeichert, verändert, ausgelesen, abgefragt, verwendet, offengelegt, abgeglichen, verknüpft und gelöscht. Der Zweck der Verarbeitung hängt damit von dem jeweils im Hauptvertrag beschriebenen Auftrag ab.

Art der Daten — Die von der Verarbeitung betroffenen Kategorien personenbezogener Daten hängen von der Nutzung der Leistungen des Auftragnehmers durch den Auftraggeber ab. Als Gegenstand der Verarbeitung in Betracht kommende Kategorien von Daten sind möglich

• a) Stammdaten (z.B. Namen, Anschriften, Geburtsdaten),
• b) Kontaktdaten (z.B. E-Mail-Adressen, Telefonnummern),
• c) Inhaltsdaten (z.B. Fotografien, Videos, Inhalte von Dokumenten),
• d) Vertragsdaten (z.B. Vertragsgegenstand, Laufzeiten, Kunden),
• e) Zahlungsdaten (z.B. Bankverbindungen, Zahlungsdienstleister),
• f) Nutzungsdaten (z.B. Verlauf Web-Dienste, Zugriffszeiten),
• g) Verbindungsdaten (z.B. Geräte-ID, IP-Adressen, URL-Referrer),
• h) Standortdaten (z.B. GPS-Daten, IP-Geolokalisierung),

Kreis der Betroffenen — Die von der Verarbeitung betroffenen Kategorien betroffener Personen hängen von der Nutzung der Leistungen des Auftragnehmers durch den Auftraggeber ab. Als Kategorien betroffener Personen kommen dabei in Betracht:

• a) Beschäftigte
• b) Gesellschafter, Organe der Gesellschaft
• c) Nutzer
• d) Kunden / Interessenten

Unterauftragnehmer

1. Unterauftragnehmer Anschrift / Land — Vercel Inc. 440 N Barranca Avenue #4133 Covina, CA 91723 United States

Gegenstand der Leistung — Betrieb und Auslieferung der Anwendung sowie automatisierte Löschläufe (Cron)

Speicher-/Verarbeitungsort (EU/EWR/Drittland) — Drittland (USA). Die Serverfunktionen laufen in Washington, D.C.

Transfermechanismus (Angemessenheitsbeschluss / DPF oder SCC 2021/914) — DPF

Verarbeitete personenbezogene Daten — Siehe oben „Art der Daten“

2. Unterauftragnehmer Anschrift / Land — Supabase Pte. Ltd. 65 Chulia Street #38-02/03 OCBC Centre Singapore 049513

Gegenstand der Leistung — Verwaltung der Nutzerkonten (Authentifizierung), Speicherung der Kontodaten, der Bibliothek (gespeicherte Artikel, Analysen, Ordner) sowie der hochgeladenen Manuskripte im privaten Speicher.

Speicher-/Verarbeitungsort (EU/EWR/Drittland) — EU, Irland

Transfermechanismus (Angemessenheitsbeschluss / DPF oder SCC 2021/914) — SCC

Verarbeitete personenbezogene Daten — Siehe oben „Art der Daten“

3. Unterauftragnehmer Anschrift / Land — Anthropic PBC 548 Market St PMB 90375 San Francisco CA 94104 United States

Gegenstand der Leistung — KI-gestützte Inhaltsverarbeitung Analyse des vom Nutzer bereitgestellten Artikel- bzw. Manuskripttexts zur Erstellung der Journal-Club-Aufbereitung bzw. der Manuskriptkritik

Speicher-/Verarbeitungsort (EU/EWR/Drittland) — Drittland (USA; Verarbeitung auch in weiteren Regionen des Anbieters möglich)

Transfermechanismus (Angemessenheitsbeschluss / DPF oder SCC 2021/914) — SCC

Verarbeitete personenbezogene Daten — Siehe oben „Art der Daten“

4. Unterauftragnehmer Anschrift / Land — Plus Five Five, Inc. ("Resend") 2261 Market Street #5039 San Francisco, CA 94114 United States

Gegenstand der Leistung — Versand systembezogener E-Mails (z. B. Vertragsdokumente nach Vertragsschluss)

Speicher-/Verarbeitungsort (EU/EWR/Drittland) — EU, Irland

Transfermechanismus (Angemessenheitsbeschluss / DPF oder SCC 2021/914) — SCC

Verarbeitete personenbezogene Daten — Siehe oben „Art der Daten“

5. Unterauftragnehmer Anschrift / Land — Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland

Gegenstand der Leistung — Abwicklung der kostenpflichtigen Abonnements

Speicher-/Verarbeitungsort (EU/EWR/Drittland) — EU

Transfermechanismus (Angemessenheitsbeschluss / DPF oder SCC 2021/914) — DPF

Verarbeitete personenbezogene Daten — Siehe oben „Art der Daten“

6. Unterauftragnehmer Anschrift / Land — IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland

Gegenstand der Leistung — E-Mail-Hosting (Postfach info@journalclubai.app), Domain und DNS

Speicher-/Verarbeitungsort (EU/EWR/Drittland) — DE

Transfermechanismus (Angemessenheitsbeschluss / DPF oder SCC 2021/914) — /

Verarbeitete personenbezogene Daten — Siehe oben „Art der Daten“

Anlage 2 - Technische und organisatorische Maßnahmen

Verantwortliche für die Datenverarbeitung sind gem. Art. 32 DSGVO verpflichtet, technische und organisatorische Maßnahmen zu treffen, durch die die Sicherheit der Verarbeitung personenbezogener Daten gewährleistet wird. Maßnahmen müssen dabei so gewählt sein, dass durch sie in der Summe ein angemessenes Schutzniveau sichergestellt wird. Diese Übersicht erläutert vor diesem Hintergrund, welche konkreten Maßnahmen durch den Auftragnehmer im Hinblick auf die Verarbeitung personenbezogener Daten im konkreten Fall getroffen sind.

Weisungen zu technischen und organisatorischen Maßnahmen

1. Organisation der Informationssicherheit

Es sind Richtlinien, Prozesse und Verantwortlichkeiten festzulegen, mit denen die Informationssicherheit implementiert und kontrolliert werden kann.

Maßnahmen

• a) Festlegung der Rollen und Verantwortlichkeiten für Betrieb von Anwendungen und System, Datenschutz und Informationssicherheit.
• b) Verpflichtung der Mitarbeiter auf Geheimhaltung und Wahrung des Datengeheimnisses.
• c) Regelmäßige Durchführung von Schulungen und Awareness-Maßnahmen.

Weitere umgesetzte Maßnahmen / Erläuterungen — Einzelunternehmen ohne Beschäftigte. Sämtliche Rollen für den Betrieb der Anwendung, den Datenschutz und die Informationssicherheit liegen beim Inhaber. Beschäftigte gibt es derzeit nicht. Werden künftig Beschäftigte oder freie Mitarbeitende eingesetzt, werden sie vor Aufnahme der Tätigkeit schriftlich auf das Datengeheimnis und die Vertraulichkeit verpflichtet, bei Beschäftigten über eine entsprechende Klausel im Arbeitsvertrag.Die fachliche Aktualisierung erfolgt laufend, unter anderem durch anwaltliche Beratung.

2. Privacy by Design

Privacy by Design beinhaltet den Gedanken, dass Systeme so konzipiert und konstruiert sein sollten, dass der Umfang der verarbeiteten personenbezogenen Daten minimiert wird. Wesentliche Elemente der Datensparsamkeit sind die Trennung personenbezogener Identifizierungsmerkmale und der Inhaltsdaten, die Verwendung von Pseudonymen und die Anonymisierung. Außerdem muss das Löschen von personenbezogenen Daten gemäß einer konfigurierbaren Aufbewahrungsfrist realisiert sein.

Maßnahmen

• a) Es werden nicht mehr personenbezogene Daten erhoben, als für den jeweiligen Zweck erforderlich sind.
• b) Prozess zur Sicherstellung von Privacy by Design bei Einführung oder Änderung von Systemen und Anwendungen.
• c) Die Verarbeitungen und Systeme sind so konzipiert, dass Sie ein DSGVO konformes Löschen der verarbeiteten personenbezogenen Daten ermöglichen und sicherstellen.

Weitere umgesetzte Maßnahmen / Erläuterungen — Für ein Nutzerkonto werden die E-Mail-Adresse und ein Passwort erhoben, das ausschließlich als Hashwert gespeichert wird; die Angabe eines Namens ist freiwillig. Weitere Daten entstehen nur durch die Nutzung der jeweiligen Funktion und nur in dem dafür erforderlichen Umfang. Geburtsdaten, Anschriften oder Standortdaten werden nicht erhoben; Zahlungsdaten verbleiben beim Zahlungsdienstleister. Es ist kein Analyse- oder Trackingdienst eingebunden. Änderungen an Datenbank und Rechtstexten erfolgen ausschließlich versioniert und begründet; neue Dienstleister werden vor der Einbindung auf Datenschutz geprüft. Nutzer können ihr Konto selbst löschen und ihre Daten exportieren. Für Manuskripte gelten feste Löschfristen (Datei 24 Stunden, Analyse 30 Tage, sofern der Nutzer sie nicht ausdrücklich speichert). Die automatisierte Ausführung dieser Fristen wird mit Freischaltung der Manuskriptfunktion aktiviert; bis dahin ist ein Hochladen durch Kunden nicht möglich.

3. Privacy by Default

Privacy by Default bezieht sich auf die datenschutzfreundlichen Voreinstellungen / Standardeinstellungen. Inwieweit wurden diese von Ihnen vorgenommen? Beispiel: Bei einem Besuch einer Webseite kann der Besucher erwarten, dass alle Programme zunächst deaktiviert sind, die personenbezogene Daten erheben.

Maßnahmen

• a) Einfache Ausübung des Widerrufrechts des Betroffenen durch technische Maßnahmen.
• b) Trackingfunktionen, die den Betroffenen überwachen, sind standardmäßig deaktiviert.
• c) Sämtliche Vorbelegungen von Auswahlmöglichkeiten erfüllen die Anforderungen der DSGVO in Bezug auf datenschutzfreundliche Voreinstellungen (z.B. keine Vorbelegungen von Opt-ins).

Weitere umgesetzte Maßnahmen / Erläuterungen — Es ist kein Analyse- oder Trackingdienst eingebunden. Ergebnisse des Generators werden nur gespeichert, wenn der Nutzer sie ausdrücklich in seiner Bibliothek ablegt. Einwilligungen und Bestätigungen sind nie vorausgewählt; den Widerrufsverzicht bei der Buchung und die Bestätigungen beim Hochladen eines Manuskripts verlangt der Server aktiv, ohne sie wird der Vorgang abgelehnt. Erklärungen werden mit Zeitstempel und Textversion protokolliert. Nutzer können ihr Konto, hochgeladene Manuskripte und gespeicherte Inhalte selbst löschen und ihre Daten jederzeit exportieren.

4. Zugriffskontrolle und Zugangskontrolle

Maßnahmen, die gewährleisten, dass die zur Benutzung der Datenverarbeitungsverfahren Befugten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden personenbezogenen Daten bzw. schutzbedürftigen Informationen und Daten zugreifen können (Beschreibung von systemimmanenten Sicherungsmechanismen, Verschlüsslungsverfahren entsprechend dem Stand der Technik. Bei Online-Zugriffen ist klarzustellen, welche Seite für die Ausgabe und Verwaltung von Zugriffssicherungscodes verantwortlich ist.). Der Auftragnehmer gewährleistet, dass die zur Benutzung von IT-Infrastruktur berechtigten Nutzer ausschließlich auf Inhalte zugreifen können, für welche sie berechtigt sind, und dass personenbezogene Daten bei der Verarbeitung und nach dem Speichern nicht unbefugt kopiert, verändert oder gelöscht werden können.

Maßnahmen

• a) Berechtigungskonzepte dokumentiert.
• b) Vermeidung von Gruppenusern.
• c) Zugriff auf Daten ist eingeschränkt und nur für Berechtigte möglich.
• d) Sperrung des Endgerätes bei Verlassen des Arbeitsplatzes oder Inaktivität.
• e) Anzahl der Administratoren auf das „Notwendigste“ reduziert.
• f) Protokollierung von Zugriffen auf Anwendungen, insbesondere bei der Eingabe, Änderung und Löschung von Daten.
• g) Umsetzen eines Prozesses zur Berechtigungsvergabe.
• h) Regelmäßige Überprüfung der Berechtigungen.
• i) Einsatz starker Authentifizierung mit mindestens 2 Faktoren aus Wissen, Besitz, Eigenschaften (Pin, Token, Smartcard, biometrische Verfahren).

Weitere umgesetzte Maßnahmen / Erläuterungen — Die Zugriffstrennung erfolgt auf Datenbankebene: Für alle Tabellen gelten Zugriffsregeln (Row Level Security), die jeden Datensatz an die angemeldete Nutzerkennung binden; privilegierte Felder sind zusätzlich über spaltenbezogene Schreibrechte geschützt. Hochgeladene Dateien liegen in einem privaten Speicher, dessen Zugriffsregeln an die Nutzerkennung im Ablagepfad gebunden sind. Die Berechtigungen der Nutzer sind im versionierten Datenbankschema festgelegt; Administratorrechte vergibt ausschließlich der Inhaber, es besteht genau ein Administratorkonto. Zugangsdaten legen die Nutzer selbst fest; Speicherung und Prüfung erfolgen beim Authentifizierungsdienst, Passwörter ausschließlich als Hash, das Zurücksetzen nur über einen Link an die hinterlegte E-Mail-Adresse. Anmeldeversuche werden vom Authentifizierungsdienst mengenmäßig begrenzt. Zugriffe auf Manuskripte (Hochladen, Ansehen, Analyse, Löschen) und rechtserhebliche Erklärungen werden protokolliert. Sämtliche administrativen Zugänge sind durch Zwei-Faktor-Authentisierung geschützt. Ein dokumentiertes Sicherheitsaudit wurde zuletzt am 20.08.2026 durchgeführt.

5. Kryptographie und / oder Pseudonymisierung

Einsatz von Verschlüsselungsverfahren für die Sicherstellung des ordnungsgemäßen und wirksamen Schutzes der Vertraulichkeit, Authentizität oder Integrität von personenbezogenen Daten bzw. schutzbedürftigen Informationen.

Maßnahmen, die geeignet sind, eine Identifikation des Betroffenen zu erschweren.

Maßnahmen

• a) Verschlüsselte Ablage von personenbezogenen Daten.
• b) Verschlüsselung von Zugängen zum Netzwerkzugängen und -verbindungen.
• c) Einsatz von Pseudonymen, Verfahren zur Pseudonymisierung von Daten.

Weitere umgesetzte Maßnahmen / Erläuterungen — Die Übertragung erfolgt ausschließlich verschlüsselt (TLS); unverschlüsselte Aufrufe werden dauerhaft auf HTTPS umgeleitet, HSTS ist mit zweijähriger Gültigkeit einschließlich Subdomains gesetzt. Ruhende Daten werden durch die eingesetzten Dienstleister verschlüsselt gespeichert; Passwörter werden ausschließlich als Hash gespeichert. In den Protokollen der Anwendung werden IP-Adressen nur gekürzt gespeichert (IPv4 ohne letztes Oktett, IPv6 nur mit dem ersten Block) und in den Zählern der Zugriffsbegrenzung nur als Hashwert; ausgenommen sind Kündigungserklärungen, bei denen die vollständige Adresse als Nachweis der Erklärung gespeichert wird. Endgeräte sind durch Passwort und automatische Bildschirmsperre geschützt. (Weitere) Maßnahmen umgesetzt durch unsere Dienstleister. Bei Interesse an den konkreten technischen und organisatorischen Maßnahmen der Dienstleister, sprechen Sie uns gerne an.

6. Schutz von Gebäuden

Verhinderung des unautorisierten physischen Zugriffs auf die Informationen und informationsverarbeitende Einrichtungen der Organisation sowie deren Beschädigung und Beeinträchtigung. Der Auftragnehmer trifft Maßnahmen, um zu verhindern, dass unbefugte Personen Zutritt (räumlich zu verstehen) zu Datenverarbeitungsanlagen erhalten mit denen personenbezogene Daten verarbeitet werden.

Weitere umgesetzte Maßnahmen / Erläuterungen — Es werden keine eigenen Rechenzentren oder Serverräume betrieben. Betrieb der Anwendung und Speicherung der Daten erfolgen ausschließlich in den Rechenzentren unserer Dienstleister; administrative Zugriffe erfolgen vom passwortgeschützten Arbeitsrechner des Inhabers. (Weitere) Maßnahmen umgesetzt durch unsere Dienstleister. Bei Interesse an den konkreten technischen und organisatorischen Maßnahmen der Dienstleister, sprechen Sie uns gerne an.

7. Schutz von Betriebsmitteln / Informationswerten

Vorbeugung von Verlust, Beschädigung, Diebstahl oder Beeinträchtigung von Werten und Unterbrechungen der Betriebstätigkeit der Organisation.

Weitere umgesetzte Maßnahmen / Erläuterungen — Es werden keine personenbezogenen Daten in Papierform verarbeitet und keine eigenen Server oder Netzkomponenten betrieben. Administrative Zugriffe erfolgen von einem passwortgeschützten Arbeitsrechner mit automatischer Bildschirmsperre. Für den Verlust oder Diebstahl eines Geräts besteht ein dokumentiertes Verfahren, nach dem die darauf hinterlegten Zugangsschlüssel in festgelegter Reihenfolge gesperrt und erneuert werden. (Weitere) Maßnahmen umgesetzt durch unsere Dienstleister. Bei Interesse an den konkreten technischen und organisatorischen Maßnahmen der Dienstleister, sprechen Sie uns gerne an.

8. Betriebsverfahren und Zuständigkeiten

Sicherstellung des ordnungsgemäßen und sicheren Betriebes von Systemen sowie Verfahren zur Verarbeitung von Informationen.

Maßnahmen

• a) Dokumentierte Sytemkonfigurationen und Betriebsverfahren, Betriebsführunghandbücher.
• b) Klare Zuordnung von Verantwortlichkeiten für die System- und Anwendungsbetreuung.
• c) Trennung der Verarbeitung von Daten der einzelnen Mandanten.

Weitere umgesetzte Maßnahmen / Erläuterungen — Anwendungscode und Datenbankschema sind vollständig versioniert und wurden am 13.09.2026 spaltengenau gegen den laufenden Betrieb abgeglichen. Die Betriebsabläufe sind schriftlich dokumentiert, insbesondere das Vorgehen bei Sicherheitsvorfällen und bei Geräteverlust sowie die Wiederherstellung. Sämtliche Verantwortlichkeiten liegen beim Inhaber. Die Daten der einzelnen Nutzer sind auf Datenbankebene logisch getrennt. Eine getrennte Entwicklungsumgebung ist vorbereitet und wird eingerichtet. (Weitere) Maßnahmen umgesetzt durch unsere Dienstleister. Bei Interesse an den konkreten technischen und organisatorischen Maßnahmen der Dienstleister, sprechen Sie uns gerne an.

9. Datensicherungen

Maßnahmen, die gewährleisten, dass personenbezogene Daten bzw. schutzbedürftige Informationen und Daten gegen zufällige Zerstörung oder Verlust geschützt sind.

Weitere umgesetzte Maßnahmen / Erläuterungen — Eine tägliche automatische Sicherung der Datenbank durch den Dienstleister wird vor Aufnahme des Vertragsbetriebs eingerichtet. Anwendungscode und Datenbankschema sind vollständig versioniert. (Weitere) Maßnahmen umgesetzt durch unsere Dienstleister. Bei Interesse an den konkreten technischen und organisatorischen Maßnahmen der Dienstleister, sprechen Sie uns gerne an.

10. Schutz vor Malware und Patchmanagement

Verhinderung einer Ausnutzung technischer Schwachstellen durch den Einsatz von aktueller Virenschutzsoftware und die Implementierung eines Patchmanagements.

Maßnahmen

• a) Regelmäßige Überwachung des Status von Sicherheitsupdates und Systemschwachstellen.
• b) Einsatz von Anti-Malware-Software.
• c) Regelmäßige Einspielen von Sicherheitspatches und Updates.

Weitere umgesetzte Maßnahmen / Erläuterungen — Die eingesetzten Programmbibliotheken werden automatisiert auf bekannte Schwachstellen überwacht; sicherheitsrelevante Aktualisierungen werden bewertet und zeitnah eingespielt. Der Arbeitsrechner erhält Betriebssystem-Updates regelmäßig und ist durch einen aktiven Virenschutz mit Echtzeitprüfung geschützt. Die Systemebene der Anwendung wird von den Dienstleistern gepatcht. (Weitere) Maßnahmen umgesetzt durch unsere Dienstleister. Bei Interesse an den konkreten technischen und organisatorischen Maßnahmen der Dienstleister, sprechen Sie uns gerne an.

11. Protokollierung und Überwachung

Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in IT-Systeme eingegeben, verändert oder entfernt worden sind. Anmeldungen, Zugriffe auf Manuskripte und rechtserhebliche Erklärungen werden protokolliert. Die Aufbewahrungsdauer richtet sich nach dem jeweiligen Zweck und ist im Verzeichnis der Verarbeitungstätigkeiten festgelegt.

Maßnahmen

• a) Überwachung der Systemnutzung.
• b) Protokollierung von Zugängen.
• c) Protokollierung von Zugriffen.

Weitere umgesetzte Maßnahmen / Erläuterungen — Die Nutzung wird automatisiert begrenzt und überwacht: Anfragen je Nutzer und Zeitraum sind begrenzt, Kontingente werden gezählt, und für die Kosten des KI-Dienstes besteht eine Ausgabengrenze mit Warnschwelle. Zugriffe auf Manuskripte (Hochladen, Ansehen, Analyse, Löschen) und rechtserhebliche Erklärungen werden mit Zeitstempel protokolliert; Anmeldungen protokolliert der Authentifizierungsdienst. Log-Dateien werden anlassbezogen ausgewertet.

12. Netzwerksicherheitsmanagement

Es muss ein angemessener Schutz für das Netzwerk implementiert werden, so dass die Informationen und die Infrastrukturkomponenten geschützt werden.

Maßnahmen

• a) Einsatz von Firewallsystemen.
• b) Benutzerauthentifizierung und Verschlüsselung von externen Zugriffen.

Weitere umgesetzte Maßnahmen / Erläuterungen — Die Anwendung wird hinter der plattformweiten Firewall des Hosting-Dienstleisters betrieben, die Angriffe wie DDoS automatisch abwehrt. Der Arbeitsrechner des Inhabers ist durch eine aktive Firewall geschützt. Externe Zugriffe erfolgen ausschließlich verschlüsselt (TLS) und werden bei jeder geschützten Anfrage serverseitig authentifiziert; administrative Zugänge sind durch Zwei-Faktor-Authentisierung geschützt. Ergänzend begrenzt die Anwendung die Zugriffsrate, um automatisierten Missbrauch zu unterbinden. (Weitere) Maßnahmen umgesetzt durch unsere Dienstleister. Bei Interesse an den konkreten technischen und organisatorischen Maßnahmen der Dienstleister, sprechen Sie uns gerne an.

13. Informationsübertragung

Maßnahmen, die gewährleisten, dass personenbezogene Daten bzw. schutzbedürftige Informationen und Daten bei der elektronischen Übertragung oder während ihres Transportes oder ihrer Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft sowie festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten bzw. schutzbedürftiger Informationen sowie Daten durch Einrichtungen zur Datenübertragung vorgesehen ist.

(Beschreibung der verwendeten Einrichtungen und Übermittlungsprotokolle, z.B. Identifizierung und Authentifizierung, Verschlüsselung entsprechend dem Stand der Technik, automatischer Rückruf, u.a.)

Maßnahmen

• a) Regelungen für den Austausch sensibler Informationen und Beschränkung des zur Übermittlung befugten Personenkreises.
• b) Weitergabe von Daten an Dritte nur nach Prüfung der Rechtsgrundlage.
• c) Rechtmäßigkeit und schriftliche Festlegung der Weitergabe von Daten in Drittländer.
• d) Sichere Datenübertragung zwischen Client und Server.
• e) Angemessener Schutz von Emails, die sensible Informationen / Daten beinhalten.

Weitere umgesetzte Maßnahmen / Erläuterungen — Manuskripte und Analyseergebnisse werden ausschließlich über die Anwendung und die Schnittstellen der eingesetzten Dienstleister übertragen, nicht per E-Mail und nicht auf Datenträgern. Die Verbindung zwischen Nutzer und Anwendung ist durchgehend verschlüsselt (TLS), ebenso die Anbindung der eingesetzten Dienstleister. Personenbezogene Daten werden an Dritte nur weitergegeben, wenn dafür eine Rechtsgrundlage besteht; diese ist im Verzeichnis der Verarbeitungstätigkeiten für jede Verarbeitung festgehalten. Übermittlungen in Drittländer sind schriftlich festgelegt und durch Standardvertragsklauseln oder das EU-US Data Privacy Framework abgesichert. E-Mails der Anwendung enthalten nur Konto- und Vertragsinformationen, keine Inhalte aus Manuskripten oder Analysen. Die Absenderdomain ist durch SPF und DKIM gegen Missbrauch geschützt, die Zustellung erfolgt verschlüsselt, soweit der empfangende Mailserver dies unterstützt. (Weitere) Maßnahmen umgesetzt durch unsere Dienstleister. Bei Interesse an den konkreten technischen und organisatorischen Maßnahmen der Dienstleister, sprechen Sie uns gerne an.

14. Netztrennung

Gruppen von Informationsdiensten, Mandanten, Benutzern und Informationssystemen sollten in Netzwerken voneinander getrennt gehalten werden.

Maßnahmen

• a) Logische Mandantentrennung.

Weitere umgesetzte Maßnahmen / Erläuterungen — Die Daten der Nutzer werden logisch voneinander getrennt. Für jede Tabelle der Datenbank sind Zugriffsregeln auf Zeilenebene (Row Level Security) aktiv, sodass kein Nutzer auf die Daten anderer Nutzer zugreifen kann. Eine physische Trennung von Netzwerken je Mandant ist bei der eingesetzten Cloud-Architektur nicht vorgesehen. (Weitere) Maßnahmen umgesetzt durch unsere Dienstleister. Bei Interesse an den konkreten technischen und organisatorischen Maßnahmen der Dienstleister, sprechen Sie uns gerne an.

15. Anschaffung, Entwicklung und Instandhaltung von Systemen

Maßnahmen, die sicherstellen, dass Informationssicherheit ein fester Bestandteil über den Lebenszyklus von Informationssystemen ist.

Maßnahmen

• a) Festlegung von sicherheitsspezifischen Regelungen und Anforderungen für den Einsatz neuer Informationssysteme und für die Erweiterung bestehender Informationssysteme.
• b) Festlegung von Regelungen für die Entwicklung und Anpassung von Software und Systemen.
• c) Schutz von Testdaten.

Weitere umgesetzte Maßnahmen / Erläuterungen — Neue Dienstleister werden vor ihrer Einbindung auf Datenschutz, Vertragslage und Verarbeitungsort geprüft, neue Programmbibliotheken auf ihre Lizenz; die Ergebnisse werden dokumentiert. Die Anwendung wurde vor dem Start einer dokumentierten Sicherheitsprüfung unterzogen, festgestellte Schwachstellen werden nach Dringlichkeit behoben. Änderungen an der Anwendung und an der Datenbankstruktur werden versioniert und nachvollziehbar dokumentiert und erst nach Freigabe durch den Inhaber ausgeliefert. Sicherheitswarnungen zu den eingesetzten Programmbibliotheken werden automatisch gemeldet, Updates werden zeitnah eingespielt. Die Anwendung wird vom Inhaber selbst entwickelt, eine Auslagerung der Entwicklung an Dritte findet nicht statt. Getestet wird mit eigens angelegten Testkonten und Testdokumenten, Daten von Nutzern werden nicht zu Testzwecken verwendet. Bis zur Einrichtung einer getrennten Testumgebung unterliegen Testdaten denselben Schutzmaßnahmen wie der Betrieb und werden nach Abschluss der Tests gezielt gelöscht.

16. Lieferantenbeziehungen

Maßnahmen betreffend die Informationssicherheit zur Verringerung von Risiken im Zusammenhang mit dem Zugriff von Lieferanten auf die Werte des Unternehmens, sollten mit Sublieferanten / Subunternehmern vereinbart und dokumentiert werden.

Maßnahmen

• a) Auswahl des Subunternehmers unter Sorgfaltsgesichtspunkten (insbesondere hinsichtlich Datensicherheit).
• b) Schriftliche Weisungen an den Subunternehmer (z.B. durch Auftragsverarbeitungsvertrag) i.S.d. DSGVO
• c) Wirksame Kontrollrechte gegenüber dem Subunternehmer vereinbart.
• d) Vorherige Prüfung und Dokumentation der beim Subunternehmer getroffenen Sicherheitsmaßnahmen.
• e) Verpflichtung der Mitarbeiter des Subunternehmers auf das Datengeheimnis.
• f) Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrags.

Weitere umgesetzte Maßnahmen / Erläuterungen — Die Dienstleister wurden unter Sicherheits- und Datenschutzgesichtspunkten ausgewählt. Mit jedem von ihnen besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, der die Weisungsbindung, Kontrollrechte, die Verpflichtung der eingesetzten Personen zur Vertraulichkeit sowie die Löschung oder Rückgabe der Daten nach Beendigung des Auftrags regelt. Die Verträge einschließlich der darin beschriebenen technischen und organisatorischen Maßnahmen der Dienstleister wurden vor dem Einsatz für Auftraggeberdaten geprüft und sind dokumentiert. Die Garantien für Übermittlungen in Drittländer werden vor dem Start und danach jährlich überprüft.

17. Management von Informationssicherheitsvorfällen

Es sind konsistente und wirksame Maßnahmen für das Management von Informationssicherheitsvorfällen (Diebstahl, Systemausfall etc.) zu implementieren.

Maßnahmen

• a) Dokumentierte Vorgehensweise zum Umgang mit Sicherheitsvorfällen
• b) Sofortige Information des Auftraggebers bei Datenschutzvorfällen.
• c) Formaler Prozess und Verantwortlichkeiten zur Nachbearbeitung von Sicherheitsvorfällen und Datenpannen.

Weitere umgesetzte Maßnahmen / Erläuterungen — Für Sicherheits- und Datenschutzvorfälle besteht eine verbindliche schriftliche Verfahrensbeschreibung. Sie legt fest, was als Vorfall gilt, und regelt die Schritte von der sofortigen Eindämmung über die Feststellung des Umfangs, die Bewertung der Meldepflichten und die Meldung bis zur Behebung mit Prüfung der Wirksamkeit. Für den Verlust oder Diebstahl des Arbeitsrechners ist ein eigener Ablauf mit festgelegter Reihenfolge der Sofortmaßnahmen hinterlegt. Auftraggeber werden unverzüglich informiert, in der Regel binnen 24 Stunden, mit den zu diesem Zeitpunkt verfügbaren Kerninformationen; fehlende Angaben werden nachgereicht. Jeder Vorfall wird dokumentiert, auch wenn keine Meldepflicht besteht. Verantwortlich für den gesamten Prozess einschließlich der Nachbearbeitung ist der Inhaber; die Verfahrensbeschreibung wird jährlich überprüft.

18. Informationssicherheitsaspekte des Business Continuity Management / Notfallmanagements

Die Aufrechterhaltung der Systemverfügbarkeit in schwierigen Situationen, wie Krisen- oder Schadensfälle.

Ein Notfallmanagement muss dieses sicherstellen. Die Anforderungen bezüglich der Informationssicherheit sollten bei den Planungen zur Betriebskontinuität und Notfallwiederherstellung festgelegt werden.

Maßnahmen

• a) Frühzeitige Information des Auftraggebers bei Notfällen.

Weitere umgesetzte Maßnahmen / Erläuterungen — Der Anwendungscode ist vollständig versioniert, sodass die Anwendung jederzeit neu ausgeliefert werden kann. Über Störungen bei der Verarbeitung ihrer Daten werden die Auftraggeber unverzüglich informiert. (Weitere) Maßnahmen umgesetzt durch unsere Dienstleister. Bei Interesse an den konkreten technischen und organisatorischen Maßnahmen der Dienstleister, sprechen Sie uns gerne an.

19. Einhaltung gesetzlicher und vertraglicher Anforderungen

Implementierung von Maßnahmen zur Vermeidung von Verstößen gegen gesetzliche, amtliche oder vertragliche Verpflichtungen sowie gegen jegliche Sicherheitsanforderungen.

Maßnahmen

• a) Sicherstellung der Einhaltung der gesetzlichen Verpflichtungen im Rahmen der Zusammenarbeit.
• b) Rückgabe sämtlicher Daten, Betriebsmittel und Informationswerte an den Auftraggeber bei Vertragsende.
• c) Einrichtung eines Lizenzmanagements.
• d) Geheimhaltungsverpflichtungen mit Mitarbeitern sowie Sublieferanten und Dienstleistern.

Weitere umgesetzte Maßnahmen / Erläuterungen — Die Vertragsdokumente und Rechtstexte der Anwendung wurden anwaltlich erstellt. Ein Verzeichnis der Verarbeitungstätigkeiten mit Rechtsgrundlagen und Löschfristen wird geführt und mindestens jährlich sowie anlassbezogen fortgeschrieben. Nutzer können ihre Daten jederzeit selbst in einem maschinenlesbaren Format exportieren und ihr Konto löschen; die zugehörigen Daten werden dabei gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen. Über die eingesetzten Dienste, Programmbibliotheken, Schriften und Datenquellen wird eine dokumentierte Lizenzübersicht geführt; der Teil zu den Programmbibliotheken wird bei jeder Änderung der Abhängigkeiten maschinell neu erzeugt, die gesamte Übersicht mindestens jährlich überprüft. Lizenzpflichtige Fremddaten werden nicht genutzt, Doppellizenzen sind mit dokumentierter Wahl hinterlegt. Die eingesetzten Dienstleister sind über ihre Auftragsverarbeitungsverträge zur Vertraulichkeit verpflichtet. Mitarbeitende sind derzeit nicht beschäftigt; sollten künftig Mitarbeitende eingesetzt werden, werden sie vor Aufnahme der Tätigkeit schriftlich zur Vertraulichkeit verpflichtet.

20. Datenschutzanforderungen und Datenschutzmanagement

Die Privatsphäre sowie der Schutz von personenbezogenen Daten sollte entsprechend den Anforderungen der einschlägigen gesetzlichen Regelungen, anderen Vorschriften sowie Vertragsbestimmungen sichergestellt werden.

Maßnahmen

• a) Einrichtung einer Datenschutzorganisation.
• b) Verzeichnis der Verarbeitungstätigkeiten.
• c) Durchführung von Datenschutzschulungen.
• d) Dokumentiertes Datenschutz-Konzept.
• e) Umgesetzte Richtlinien zum Datenschutz.

Weitere umgesetzte Maßnahmen / Erläuterungen — Die Verantwortung für den Datenschutz liegt beim Inhaber. Die Datenschutzprozesse sind schriftlich festgelegt, insbesondere zu Betroffenenrechten, Datenschutzvorfällen, Löschung und Rückgabe bei Vertragsende sowie zur Prüfung neuer Dienstleister, und werden mindestens jährlich sowie anlassbezogen überprüft. Ein Verzeichnis der Verarbeitungstätigkeiten wird geführt; zusammen mit den technischen und organisatorischen Maßnahmen, den Löschfristen und der Übersicht der Auftragsverarbeiter bildet es das dokumentierte Datenschutzkonzept. Die Datenschutzdokumentation wird versioniert geführt; ein gesondertes Datenschutz-Managementsystem wird derzeit nicht eingesetzt. Der Inhaber hält sich regelmäßig zum Datenschutz auf dem Laufenden, unter anderem durch anwaltliche Beratung. Ein Datenschutzbeauftragter ist derzeit nicht zu bestellen; dies wird bei Einstellung von Mitarbeitenden und bei Einführung neuer Verarbeitungen neu geprüft. Eine Datenschutz-Folgenabschätzung ist für die derzeit angebotenen Verarbeitungen nicht erforderlich und wird vor Einführung der Manuskriptprüfung neu bewertet.

21. Informationssicherheitsüberprüfungen

Es muss regelmäßig überprüft werden, ob die Informationsverarbeitung entsprechend der definierten Sicherheitsmaßnahmen durchgeführt wird. Hierfür wird der Auftragnehmer regelmäßige Prüfungen durchführen. Der Auftragnehmer räumt dem Auftraggeber das Recht ein, regelmäßige Audits / Überprüfungen bei ihm durchzuführen.

Maßnahmen

• a) Regelmäßige Durchführung von internen Audits zu den Themen Datenschutz- und Informationssicherheit.

Weitere umgesetzte Maßnahmen / Erläuterungen — Interne Überprüfungen von Datenschutz und Informationssicherheit werden mindestens jährlich sowie vor größeren Änderungen durchgeführt und dokumentiert. Im August 2026 wurde die Anwendung einer dokumentierten Sicherheitsprüfung unterzogen, im September 2026 wurden sämtliche technischen und organisatorischen Maßnahmen gegen den tatsächlichen Betrieb geprüft; festgestellte Abweichungen wurden behoben oder dokumentiert. Externe Penetrationstests wurden bislang nicht beauftragt. Auftraggeber können die Einhaltung nach Maßgabe des Auftragsverarbeitungsvertrags überprüfen, vorrangig durch Dokumentenprüfung, Fragebogen oder Videotermin.