Vertrag zur Auftragsverarbeitung

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend AVV) regelt die Verarbeitung personenbezogener Daten, die der Kunde über die API einreicht und die wir ausschließlich in seinem Auftrag verarbeiten.

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde (nachfolgend Verantwortlicher). Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist Tobias Satzger, c/o IP-Management #10800, Ludwig-Erhard-Str. 18, 20459 Hamburg (nachfolgend Auftragsverarbeiter oder wir).

1. Gegenstand und Dauer

1.1 Vertragsbestandteil

Dieser AVV ist Bestandteil des Nutzungsvertrages nach unseren Allgemeinen Geschäftsbedingungen (nachfolgend Hauptvertrag) und kommt mit diesem zustande. Er wird in elektronischer Form geschlossen; das genügt der Form des Art. 28 Abs. 9 Satz 2 DSGVO.

1.2 Gegenstand

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten, die im Inhalt der vom Verantwortlichen über die API eingereichten Rechnungen und Rechnungsdaten enthalten sind (nachfolgend Auftragsdaten), zum Zweck des Erzeugens, Prüfens, Auslesens und Konvertierens elektronischer Rechnungen. Die Einzelheiten ergeben sich aus Anlage 1.

1.3 Abgrenzung

Dieser AVV gilt nicht für Verarbeitungen, für die wir selbst Verantwortlicher sind, insbesondere Kundenkonto, Abrechnung, Support, Reichweitenmessung sowie Betrieb und Sicherheit des Dienstes. Diese beschreibt unsere Datenschutzerklärung.

1.4 Dauer

Der AVV läuft, solange der Hauptvertrag läuft. Er endet mit diesem, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten aus Ziffer 6 (Vertraulichkeit) und Ziffer 13 (Löschung und Rückgabe) bestehen über das Ende hinaus fort, bis sie erfüllt sind.

2. Konkretisierung des Auftrags

2.1 Anlage 1

Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen, die Dauer und der Ort der Verarbeitung sind in Anlage 1 beschrieben. Anlage 1 ist Bestandteil dieses Vertrages.

2.2 Keine Verarbeitung zu eigenen Zwecken

Wir verarbeiten die Auftragsdaten ausschließlich zur Erbringung der vertraglich vereinbarten Leistung und nicht zu eigenen Zwecken. Insbesondere verwenden wir Auftragsdaten nicht zum Training oder zur Verbesserung von Modellen künstlicher Intelligenz und geben sie zu diesem Zweck auch nicht an Dritte weiter.

2.3 Besondere Kategorien personenbezogener Daten

Die Verarbeitung ist auf Rechnungsdaten ausgerichtet. Beabsichtigt der Verantwortliche, besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO oder Daten nach Art. 10 DSGVO einzureichen, unterrichtet er uns zuvor in Textform, damit wir prüfen können, ob die Maßnahmen nach Ziffer 5 dem Risiko angemessen sind.

3. Rechte und Pflichten des Verantwortlichen

3.1 Verantwortlichkeit

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen allein verantwortlich (Art. 24 DSGVO). Er beurteilt insbesondere, auf welcher Rechtsgrundlage er die Auftragsdaten einreicht, und erfüllt seine Informationspflichten nach Art. 13 und 14 DSGVO gegenüber den betroffenen Personen.

3.2 Weisungsrecht

Der Verantwortliche ist berechtigt, Weisungen nach Ziffer 4 zu erteilen, zu ändern und zu widerrufen.

3.3 Kontrolle

Der Verantwortliche überzeugt sich vor Beginn der Verarbeitung und danach regelmäßig von der Einhaltung der bei uns getroffenen technischen und organisatorischen Maßnahmen. Er kann dazu die Rechte aus Ziffer 12 ausüben.

3.4 Mitteilung von Verstößen

Stellt der Verantwortliche bei uns einen Verstoß gegen datenschutzrechtliche Vorschriften oder gegen diesen Vertrag fest, teilt er ihn uns unverzüglich mit.

4. Weisungsbefugnis und Remonstrationspflicht

4.1 Verarbeitung nur auf Weisung

Wir verarbeiten die Auftragsdaten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch im Hinblick auf eine Übermittlung in ein Drittland oder an eine internationale Organisation (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Sind wir ausnahmsweise durch das Recht der Union oder der Mitgliedstaaten zu einer Verarbeitung verpflichtet, unterrichten wir den Verantwortlichen vor der Verarbeitung über diese Anforderung, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

4.2 Form der Weisungen

Die laufenden Weisungen des Verantwortlichen ergeben sich aus den Parametern seiner API-Anfragen: Der Verantwortliche bestimmt mit jeder Anfrage, welcher Vorgang auf welchen Daten mit welchem Zielformat ausgeführt wird. Darüber hinausgehende Einzelweisungen erteilt er in Textform an hello@beliq.eu. Mündlich erteilte Weisungen bestätigt der Verantwortliche unverzüglich in Textform. Wir dokumentieren Einzelweisungen und bewahren sie für die Dauer des Vertrages auf.

4.3 Weisungsberechtigte Personen

Weisungsberechtigt sind die Personen, die der Verantwortliche uns benennt. Ohne eine abweichende Benennung gelten die Inhaber der Rollen Eigentümer und Administrator der Organisation des Verantwortlichen im Dashboard als weisungsberechtigt.

4.4 Remonstrationspflicht

Sind wir der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, teilen wir dies dem Verantwortlichen unverzüglich mit (Art. 28 Abs. 3 Satz 3 DSGVO). Wir sind berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.

5. Technische und organisatorische Maßnahmen

5.1 Maßnahmen nach Art. 32 DSGVO

Wir treffen die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen. Sie gewährleisten ein Schutzniveau, das dem Risiko für die Rechte und Freiheiten der betroffenen Personen angemessen ist. Anlage 2 ist Bestandteil dieses Vertrages.

5.2 Fortentwicklung

Die Maßnahmen unterliegen dem technischen Fortschritt. Wir dürfen sie anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentieren wir und teilen sie dem Verantwortlichen auf Anfrage mit.

5.3 Überprüfung

Wir überprüfen die Wirksamkeit der Maßnahmen regelmäßig (Art. 32 Abs. 1 lit. d DSGVO). Das Verfahren beschreibt Anlage 2 Abschnitt 5.

6. Vertraulichkeit

6.1 Verpflichtung der Beschäftigten

Wir stellen sicher, dass sich die zur Verarbeitung der Auftragsdaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.

6.2 Unterrichtung

Die befugten Personen sind mit den für sie maßgeblichen Bestimmungen des Datenschutzes und mit der Bindung an Weisungen vertraut gemacht (Art. 29, Art. 32 Abs. 4 DSGVO).

6.3 Beschränkung des Zugriffs

Zugriff auf Auftragsdaten erhalten nur Personen, die ihn zur Erfüllung dieses Vertrages benötigen. Der Kreis ist auf den Auftragsverarbeiter selbst beschränkt; Beschäftigte setzen wir derzeit nicht ein.

7. Unterstützung bei Betroffenenrechten

7.1 Unterstützungspflicht

Wir unterstützen den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen nach den Art. 12 bis 23 DSGVO nachzukommen (Art. 28 Abs. 3 Satz 2 lit. e DSGVO).

7.2 Weiterleitung

Wendet sich eine betroffene Person unmittelbar an uns, leiten wir den Antrag unverzüglich an den Verantwortlichen weiter und beantworten ihn nicht selbst, es sei denn, der Verantwortliche weist uns dazu an.

7.3 Umfang der Unterstützung

Auftragsdaten werden ausschließlich im Arbeitsspeicher verarbeitet und nach Abschluss der Anfrage verworfen (Anlage 1 Abschnitt 5). Ein Bestand, aus dem Auskunft erteilt, der berichtigt oder aus dem gelöscht werden könnte, entsteht dadurch bei uns nicht. Unsere Unterstützung besteht daher in erster Linie in Auskünften über den Ablauf der Verarbeitung und in der Bestätigung, dass zu einer bestimmten betroffenen Person keine Auftragsdaten vorgehalten werden.

8. Unterstützung bei den Art. 32 bis 36 DSGVO

8.1 Umfang

Wir unterstützen den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 Satz 2 lit. f DSGVO), insbesondere bei

• der Sicherheit der Verarbeitung (Art. 32 DSGVO),
• der Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde (Art. 33 DSGVO) und der Benachrichtigung betroffener Personen (Art. 34 DSGVO),
• einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und einer vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO).

8.2 Auskünfte

Für eine Datenschutz-Folgenabschätzung stellen wir die bei uns vorhandenen Angaben zu Verarbeitungsablauf, Schutzmaßnahmen und eingesetzten Unterauftragsverarbeitern zur Verfügung. Dieser Vertrag samt Anlagen deckt den Regelfall bereits ab.

9. Verletzungen des Schutzes personenbezogener Daten

9.1 Meldung an den Verantwortlichen

Wir melden dem Verantwortlichen unverzüglich jede Verletzung des Schutzes personenbezogener Daten, die Auftragsdaten betrifft, nachdem sie uns bekannt geworden ist (Art. 33 Abs. 2 DSGVO). Die Meldung erfolgt so rechtzeitig, dass der Verantwortliche seine eigene Frist von 72 Stunden nach Art. 33 Abs. 1 DSGVO wahren kann. Eine feste Frist tritt an die Stelle der Unverzüglichkeit nicht.

9.2 Inhalt der Meldung

Die Meldung enthält, soweit uns bekannt,

• eine Beschreibung der Art der Verletzung, soweit möglich mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze,
• den Namen und die Kontaktdaten einer Ansprechperson,
• eine Beschreibung der wahrscheinlichen Folgen,
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung möglicher nachteiliger Auswirkungen.

Stehen nicht alle Angaben sofort zur Verfügung, melden wir zunächst das Bekannte und reichen das Übrige unverzüglich nach.

9.3 Dokumentation und Mitwirkung

Wir dokumentieren Verletzungen des Schutzes personenbezogener Daten einschließlich der ergriffenen Maßnahmen und unterstützen den Verantwortlichen bei seiner Meldung an die Aufsichtsbehörde und bei einer Benachrichtigung betroffener Personen. Meldungen gegenüber der Aufsichtsbehörde nimmt der Verantwortliche vor.

10. Unterauftragsverarbeiter

10.1 Allgemeine Genehmigung

Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen (Art. 28 Abs. 2 Satz 1 DSGVO). Die im Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 abschließend aufgeführt und damit genehmigt. Anlage 3 ist Bestandteil dieses Vertrages.

10.2 Ankündigung und Widerspruch

Beabsichtigen wir, einen Unterauftragsverarbeiter hinzuzuziehen oder auszutauschen, kündigen wir dies dem Verantwortlichen mindestens vier Wochen vorher in Textform an. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus sachlichen datenschutzrechtlichen Gründen widersprechen. Widerspricht er, sind wir berechtigt, die betroffene Leistung nicht zu erbringen; der Verantwortliche ist berechtigt, den Hauptvertrag mit sofortiger Wirkung zu kündigen, wenn die Leistung dadurch für ihn wesentlich beeinträchtigt wird.

10.3 Pflichten gegenüber dem Unterauftragsverarbeiter

Wir erlegen jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haften wir gegenüber dem Verantwortlichen für dessen Einhaltung dieser Pflichten.

10.4 Keine Unterauftragsverarbeitung sind

Nebenleistungen, bei denen keine Auftragsdaten verarbeitet werden, sind keine Unterauftragsverarbeitung im Sinne dieser Ziffer. Anlage 3 Abschnitt 2 führt die betreffenden Dienstleister zur Transparenz gleichwohl auf.

11. Internationale Datenübermittlung

11.1 Verarbeitung ausschließlich in der Union

Auftragsdaten werden ausschließlich in Mitgliedstaaten der Europäischen Union verarbeitet. Eine Übermittlung in ein Drittland oder an eine internationale Organisation findet nicht statt. Das gilt auch für Zugriffe zu Wartungs-, Fehleranalyse- und Unterstützungszwecken.

11.2 Voraussetzungen einer künftigen Übermittlung

Eine Übermittlung in ein Drittland setzt eine Weisung des Verantwortlichen nach Ziffer 4.1 und eine Grundlage nach Kapitel V der DSGVO voraus, insbesondere einen Angemessenheitsbeschluss nach Art. 45 DSGVO oder geeignete Garantien nach Art. 46 DSGVO. Bis dahin unterbleibt sie. Der Wechsel auf einen Unterauftragsverarbeiter mit Verarbeitung außerhalb der Union ist zusätzlich nach Ziffer 10.2 anzukündigen.

12. Nachweis- und Kontrollrechte

12.1 Nachweis

Wir stellen dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind (Art. 28 Abs. 3 Satz 2 lit. h DSGVO). Der Nachweis erfolgt in der Regel durch diesen Vertrag samt Anlagen, die Beschreibung der technischen und organisatorischen Maßnahmen und durch Auskünfte in Textform.

12.2 Überprüfung vor Ort

Genügt der Nachweis nach Ziffer 12.1 im Einzelfall nicht, ermöglichen wir Überprüfungen einschließlich Inspektionen und tragen zu ihnen bei. Der Verantwortliche kann sie selbst durchführen oder durch einen von ihm beauftragten Prüfer durchführen lassen, der zur Verschwiegenheit verpflichtet und kein Wettbewerber von uns ist.

12.3 Durchführung

Überprüfungen finden nach angemessener Vorankündigung, in der Regel zwei Wochen, während unserer üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebsablaufs statt. Sie erfolgen in der Regel einmal jährlich. Bei konkretem Anlass, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten oder auf Anordnung einer Aufsichtsbehörde, kann der Verantwortliche auch häufiger überprüfen und die Vorankündigung verkürzen.

12.4 Kosten

Jede Partei trägt die ihr durch eine Überprüfung entstehenden eigenen Kosten.

12.5 Aufsichtsbehörden

Kontroll- und Auskunftsrechte der zuständigen Aufsichtsbehörden bleiben unberührt. Wir dulden Kontrollen der Aufsichtsbehörde des Verantwortlichen und wirken daran mit (Art. 31 DSGVO).

13. Löschung und Rückgabe

13.1 Während der Verarbeitung

Auftragsdaten werden ausschließlich im Arbeitsspeicher verarbeitet und nach Abschluss der jeweiligen Anfrage verworfen. Während der Verarbeitung entstehende temporäre Dateien löschen wir unmittelbar danach. Ein dauerhafter Bestand an Auftragsdaten entsteht nicht.

13.2 Nach Ende des Vertrages

Nach Beendigung der Erbringung der Verarbeitungsleistungen löschen wir nach Wahl des Verantwortlichen alle Auftragsdaten oder geben sie zurück und löschen vorhandene Kopien, soweit sich nicht aus dem Recht der Union oder der Mitgliedstaaten eine Aufbewahrungspflicht ergibt (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Da nach Ziffer 13.1 kein Bestand entsteht, geht diese Wahl in der Regel ins Leere. Auf Verlangen bestätigen wir die Löschung in Textform.

13.3 Metadaten

Die zu jedem Vorgang gespeicherten Metadaten (Anlage 1 Abschnitt 3) enthalten keine Auftragsdaten. Ihre Löschung richtet sich nach unserer Datenschutzerklärung.

13.4 Sicherungen

Sicherungskopien unserer Datenbank enthalten keine Auftragsdaten. Sie werden im Zuge der Rotation nach 30 Tagen überschrieben.

14. Haftung

14.1 Haftung im Außenverhältnis

Für die Haftung gegenüber betroffenen Personen und für Geldbußen gilt Art. 82 DSGVO und Art. 83 DSGVO. Diese Regelungen kann dieser Vertrag nicht abbedingen.

14.2 Haftung im Innenverhältnis

Im Verhältnis der Parteien zueinander gilt die Haftungsregelung in Ziffer 9 der AGB. Sie gilt nicht für Ansprüche nach Art. 82 DSGVO im Außenverhältnis und nicht für den Ausgleich zwischen den Parteien nach Art. 82 Abs. 5 DSGVO.

15. Ansprechpersonen

15.1 Bei uns

Ansprechperson für den Datenschutz ist Tobias Satzger, erreichbar unter hello@beliq.eu. Einen Datenschutzbeauftragten haben wir nicht benannt; dazu sind wir nach Art. 37 DSGVO in Verbindung mit § 38 BDSG nicht verpflichtet.

15.2 Beim Verantwortlichen

Der Verantwortliche benennt uns auf Anfrage seine Ansprechperson für den Datenschutz. Ohne eine abweichende Benennung gilt die im Konto hinterlegte E-Mail-Adresse als Kontaktweg.

16. Schlussbestimmungen

16.1 Vorrang

Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV vor, soweit sie die Verarbeitung von Auftragsdaten betreffen.

16.2 Änderungen

Änderungen dieses AVV erfolgen nach Ziffer 13 der AGB. Änderungen, die zur Anpassung an geänderte datenschutzrechtliche Anforderungen erforderlich sind, können wir auch dann vornehmen, wenn sie den Leistungsumfang berühren.

16.3 Anwendbares Recht und Gerichtsstand

Es gilt deutsches Recht. Für den Gerichtsstand gilt Ziffer 14.2 der AGB.

16.4 Teilunwirksamkeit

Ist eine Bestimmung dieses Vertrages unwirksam, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

16.5 Sprachfassung

Maßgeblich ist die deutsche Fassung dieses Vertrages. Die englische Fassung ist eine unverbindliche Übersetzung.

Anlage 1: Beschreibung der Verarbeitung

1. Gegenstand

Verarbeitung personenbezogener Daten, die im Inhalt der vom Verantwortlichen über die API eingereichten Rechnungen und Rechnungsdaten enthalten sind, im Rahmen der Bereitstellung der Beliq-API.

2. Art und Zweck der Verarbeitung

• Erzeugen: Erstellen einer elektronischen Rechnung aus den vom Verantwortlichen übermittelten strukturierten Daten, einschließlich der Erzeugung einer PDF-Darstellung.
• Prüfen: Prüfen eingereichter Dokumente gegen EN 16931 und die jeweils gewählten nationalen Ausprägungen, einschließlich der Rückgabe von Prüfmeldungen.
• Auslesen: Überführen eingereichter Dokumente in eine strukturierte Darstellung und Rückgabe an den Verantwortlichen.
• Konvertieren: Überführen eingereichter Dokumente zwischen den unterstützten Formaten.
• Übermitteln des Ergebnisses: Rückgabe des Verarbeitungsergebnisses an den Verantwortlichen über die API-Antwort oder über einen von ihm eingerichteten Webhook.

Zweck ist allein die Erbringung dieser Leistungen für den Verantwortlichen.

3. Art der personenbezogenen Daten

Welche personenbezogenen Daten verarbeitet werden, bestimmt der Verantwortliche durch den Inhalt, den er einreicht. In Rechnungsdaten treten typischerweise auf:

• Namen und Kontaktdaten von Rechnungsstellern, Rechnungsempfängern und deren Ansprechpersonen (Anschrift, E-Mail-Adresse, Telefonnummer),
• Angaben zur Rechnung und zur Leistung (Rechnungsnummer, Positionen, Beträge, Leistungszeitraum, Bestell- und Vertragsbezüge),
• steuerliche und Zahlungsangaben (Umsatzsteuer-Identifikationsnummer, Steuernummer, Bankverbindung einschließlich IBAN),
• Kennungen für den elektronischen Rechnungsverkehr (etwa Leitweg-ID, Peppol-Teilnehmerkennung).

Zu den Metadaten, die wir zu jedem Vorgang speichern, gehören Vorgangsart, Standard und Profil, Eingangs- und Ausgabeformat, Status, Prüfergebnisse, Zeitbedarf und die Zuordnung zur Organisation des Verantwortlichen. Auftragsdaten sind darin nicht enthalten; aus Prüfmeldungen werden die übermittelten Werte vor dem Speichern entfernt.

4. Kategorien betroffener Personen

• Kunden und Lieferanten des Verantwortlichen,
• Beschäftigte und Ansprechpersonen des Verantwortlichen,
• Beschäftigte und Ansprechpersonen der Kunden und Lieferanten des Verantwortlichen,
• sonstige natürliche Personen, deren Daten im eingereichten Inhalt enthalten sind.

5. Dauer der Verarbeitung und Speicherung

Auftragsdaten werden ausschließlich für die Dauer der jeweiligen API-Anfrage im Arbeitsspeicher verarbeitet und danach verworfen. Eine dauerhafte Speicherung findet nicht statt. Temporäre Dateien, die während der Verarbeitung entstehen, werden unmittelbar nach der Anfrage gelöscht. Im Übrigen richtet sich die Dauer nach Ziffer 1.4 dieses Vertrages.

6. Ort der Verarbeitung

Die Verarbeitung findet ausschließlich in Rechenzentren innerhalb der Europäischen Union statt (Deutschland). Zugriffe zu Wartungs- und Fehleranalysezwecken erfolgen ebenfalls ausschließlich aus der Europäischen Union.

Anlage 2: Technische und organisatorische Maßnahmen

Maßnahmen nach Art. 32 DSGVO, gegliedert nach den Schutzzielen. Wir betreiben keine eigenen Rechenzentren; die baulichen und physischen Maßnahmen erbringt der in Anlage 3 genannte Unterauftragsverarbeiter, dessen Nachweise wir auf Anfrage weiterreichen.

1. Vertraulichkeit

Zutrittskontrolle. Der Zutritt zu den Rechenzentren wird vom Unterauftragsverarbeiter nach dessen Maßnahmen kontrolliert. Eigene Serverräume unterhalten wir nicht.

Zugangskontrolle. Zugang zu Systemen nur über persönliche, mit einem zweiten Faktor gesicherte Konten. Administrativer Zugang zur Infrastruktur ausschließlich über Schlüsselpaare; Passwortanmeldung ist abgeschaltet. Sitzungstoken sind signiert, höchstens sieben Tage gültig und werden bei Passwortänderung oder Sperrung des Kontos sofort entzogen.

Zugriffskontrolle. Rollen- und rechtebasierte Steuerung im Dashboard. In der Datenbank zeilenbasierte Zugriffskontrolle je Organisation sowie Datenbankrollen mit geringstmöglichen Rechten; die Anwendungsrolle besitzt das Schema nicht. API-Schlüssel werden nur als SHA-256-Hashwert gespeichert, Passwörter als Argon2id-Hashwert.

Trennungskontrolle. Trennung der Mandanten in der Datenbank durch zeilenbasierte Zugriffskontrolle; Trennung der Dienste im Cluster durch Netzwerkrichtlinien; getrennte Umgebungen für Test- und Produktivbetrieb sowie getrennte Schlüssel für den Testbetrieb.

2. Integrität

Weitergabekontrolle. Übertragung ausschließlich verschlüsselt über TLS 1.3. Besonders schutzbedürftige Felder im Ruhezustand (E-Mail-Adressen, Geheimnisse, PDF-Vorlagen) verschlüsselt mit AES-256-GCM. Sicherungen verschlüsselt an zwei Orten, beide in der Europäischen Union.

Eingabekontrolle. Zu jedem Verarbeitungsvorgang werden Metadaten mit Zeitpunkt, Vorgangsart und Zuordnung zur Organisation festgehalten. Sicherheitsrelevante Vorgänge im Konto (Anmeldung, Änderung von Schlüsseln, Rollenänderungen) werden protokolliert.

Datenminimierung. Auftragsdaten werden ausschließlich im Arbeitsspeicher verarbeitet und nicht dauerhaft gespeichert. Sie gelangen weder in Metadaten noch in Protokolle oder Fehlermeldungen; aus Prüfmeldungen werden die übermittelten Werte vor dem Speichern entfernt.

3. Verfügbarkeit und Belastbarkeit

• Betrieb auf einem Kubernetes-Cluster über zwei Rechenzentren mit automatischer Skalierung,
• Datenbank mit Replikation und automatischem Wechsel auf die Zweitinstanz,
• regelmäßige, verschlüsselte Sicherungen an zwei Orten, beide in der Europäischen Union; Rotation nach 30 Tagen,
• Begrenzung der Anfragerate und Missbrauchserkennung zum Schutz der Verfügbarkeit,
• Überwachung von Protokollen, Messwerten und Fehlern auf eigenen Installationen in der Europäischen Union; Auftragsdaten und Geheimnisse werden dabei nicht erfasst.

4. Pseudonymisierung und Verschlüsselung

• Verschlüsselung auf dem Transportweg mit TLS 1.3,
• Verschlüsselung besonders schutzbedürftiger Felder im Ruhezustand mit AES-256-GCM,
• Passwörter als Argon2id-Hashwert, Geheimnisse von API-Schlüsseln als SHA-256-Hashwert, Bestätigungscodes als schlüsselbasierter Einweg-Hashwert,
• Nachschlagen verschlüsselter E-Mail-Adressen über einen schlüsselbasierten Hashwert, ohne den Bestand zu entschlüsseln.

5. Verfahren zur regelmäßigen Überprüfung

• Änderungen an der Anwendung durchlaufen eine automatisierte Prüfstrecke mit Tests und statischer Analyse, bevor sie ausgeliefert werden.
• Abhängigkeiten werden laufend auf bekannte Schwachstellen geprüft und aktualisiert.
• Die Wirksamkeit der Maßnahmen wird bei jeder wesentlichen Änderung an Architektur oder Datenhaltung überprüft, mindestens jährlich.
• Verfahren zur Wiederherstellung aus Sicherungen und zum Wechsel der Datenbankinstanz werden praktisch erprobt.
• Meldewege für Schwachstellen sind unter security.txt veröffentlicht.

Anlage 3: Genehmigte Unterauftragsverarbeiter

1. Unterauftragsverarbeiter mit Bezug zu Auftragsdaten

Die folgenden Unterauftragsverarbeiter sind nach Ziffer 10.1 genehmigt. Sie stellen die Infrastruktur bereit, über die Auftragsdaten während der Verarbeitung laufen; eine dauerhafte Speicherung findet auch dort nicht statt.

2. Weitere Dienstleister ohne Bezug zu Auftragsdaten

Die folgenden Dienstleister setzen wir für Nebenleistungen ein. Auftragsdaten verarbeiten sie nicht. Sie sind keine Unterauftragsverarbeiter im Sinne der Ziffer 10 und hier allein zur Transparenz aufgeführt. Ihre Rolle für die Verarbeitungen, für die wir selbst Verantwortlicher sind, beschreibt unsere Datenschutzerklärung.

Google, GitHub und Microsoft sind bei der Anmeldung über einen Drittanbieter eigenständig Verantwortliche und weder Unterauftragsverarbeiter noch Auftragsverarbeiter. Sie werden nur eingebunden, wenn der Nutzer diesen Weg ausdrücklich wählt.