Zusatzvereinbarung zur Auftragsverarbeitung
Gültig ab June 13, 2026 · Version 1.0
1. Begriffsbestimmungen
Hier nicht definierte Begriffe haben die in der DSGVO (Verordnung (EU) 2016/679) oder den anwendbaren Datenschutzgesetzen festgelegte Bedeutung. "Kundendaten" bezeichnet personenbezogene Daten, die dem Dienst durch den Verantwortlichen oder seine autorisierten Nutzer übermittelt werden.
2. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet Kundendaten ausschließlich zur Bereitstellung des Dienstes für die Laufzeit der Vereinbarung, zuzüglich eines etwaigen Zeitraums für die Rückgabe oder Löschung nach Beendigung gemäß Abschnitt 9. Zu den Kategorien betroffener Personen zählen die Beschäftigten, Kunden, Interessenten, Lieferanten und sonstigen Kontakte des Verantwortlichen, deren Daten der Verantwortliche in den Dienst einzugeben wählt. Zu den Kategorien personenbezogener Daten zählen Identifikationsdaten (Name, Funktion, E-Mail, Telefon), geschäftliche Kontaktdaten, Kontozugangsdaten, Kommunikationsinhalte, Abrechnungsdaten und Nutzungsmetadaten. Der Auftragsverarbeiter erhebt keine Daten besonderer Kategorien (DSGVO Art. 9).
3. Rollen
Der Verantwortliche ist der Verantwortliche und der Auftragsverarbeiter ist der Auftragsverarbeiter der Kundendaten. Der Verantwortliche ist allein verantwortlich für die Rechtmäßigkeit seiner Weisungen sowie für die Einholung aller erforderlichen Einwilligungen und die Erteilung aller erforderlichen Hinweise gegenüber den betroffenen Personen. Der Auftragsverarbeiter verarbeitet Kundendaten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der Konfigurationsentscheidungen, die der Verantwortliche innerhalb des Dienstes trifft.
4. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter wird (a) Kundendaten nur insoweit verarbeiten, wie es zur Bereitstellung des Dienstes erforderlich oder gesetzlich vorgeschrieben ist; (b) sicherstellen, dass das Personal zur Vertraulichkeit verpflichtet ist; (c) die Maßnahmen gemäß Anlage I umsetzen; (d) den Verantwortlichen benachrichtigen, wenn eine Weisung gegen die Datenschutzgesetze verstößt; und (e) den Verantwortlichen bei den Pflichten zu Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung (DSFA) und vorheriger Konsultation gemäß DSGVO Art. 32 bis 36 unterstützen.
5. Unterauftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine Genehmigung für die in Anlage II aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter wird mindestens 30 Tage im Voraus über die Hinzunahme oder Ersetzung eines Unterauftragsverarbeiters informieren, indem er die Liste der Unterauftragsverarbeiter aktualisiert und den hinterlegten Benachrichtigungskontakt per E-Mail unterrichtet. Der Verantwortliche kann innerhalb der Benachrichtigungsfrist aus berechtigten Datenschutzgründen schriftlich Widerspruch einlegen.
6. Rechte der betroffenen Personen
Der Auftragsverarbeiter wird den Verantwortlichen, soweit möglich, mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützen, Anfragen betroffener Personen gemäß DSGVO Art. 12 bis 22 zu beantworten. Erhält der Auftragsverarbeiter eine an die Kundendaten gerichtete Anfrage einer betroffenen Person, wird er die Anfrage, soweit rechtlich zulässig, unverzüglich an den Verantwortlichen weiterleiten und, außer auf Weisung, nicht selbst darauf antworten.
7. Sicherheit
Der Auftragsverarbeiter wird die in Anlage I beschriebenen technischen und organisatorischen Maßnahmen umsetzen und regelmäßig überprüfen. Der Auftragsverarbeiter wird den Verantwortlichen unverzüglich (innerhalb von 72 Stunden nach Kenntniserlangung) über jede Verletzung des Schutzes personenbezogener Daten benachrichtigen, die Kundendaten betrifft.
8. Internationale Übermittlungen
Soweit Kundendaten außerhalb des EWR, des UK oder der Schweiz verarbeitet werden, nehmen die Parteien die EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/914 der Kommission, Modul Zwei), die UK IDTA oder die SCCs mit dem UK-Zusatz sowie die vom Swiss FDPIC anerkannten Anpassungen, je nach Anwendbarkeit, durch Verweis auf.
9. Rückgabe oder Löschung von Daten
Bei Beendigung der Vereinbarung wird der Auftragsverarbeiter nach Wahl des Verantwortlichen alle Kundendaten innerhalb von 30 Tagen löschen oder zurückgeben, es sei denn, eine Aufbewahrung ist gesetzlich vorgeschrieben oder erfolgt im Rahmen routinemäßiger Sicherungszyklen. Der Verantwortliche kann Kundendaten während der Laufzeit jederzeit über die im Produkt integrierte Exportfunktion (CSV / JSON) exportieren.
10. Prüfungen
Der Auftragsverarbeiter wird auf angemessene schriftliche Anfrage, höchstens einmal alle 12 Monate und vorbehaltlich der Vertraulichkeit, die aktuellsten für den Dienst relevanten Prüfberichte und Zertifizierungen unabhängiger Dritter zur Verfügung stellen. Sind diese unzureichend, kann der Verantwortliche mit einer Vorankündigung von mindestens 30 Tagen in schriftlicher Form, während der Geschäftszeiten, auf eigene Kosten und höchstens einmal jährlich eine Prüfung durchführen, außer im Fall einer bestätigten Verletzung des Schutzes personenbezogener Daten.
11. Haftung
Die Haftung jeder Partei nach dieser DPA unterliegt den in der Vereinbarung festgelegten Haftungsbeschränkungen und Haftungsausschlüssen.
12. Laufzeit und Rangfolge
Diese DPA tritt zum Wirksamkeitsdatum der Vereinbarung in Kraft und gilt bis zum jeweils späteren der folgenden Zeitpunkte fort: (a) Ablauf oder Beendigung der Vereinbarung oder (b) Löschung oder Rückgabe aller Kundendaten gemäß Abschnitt 9. Im Falle eines Widerspruchs gilt folgende Rangfolge: (1) diese DPA, (2) die Vereinbarung, (3) etwaige Bestellformulare. Die SCCs haben nur in Bezug auf die von den SCCs geregelten Übermittlungen Vorrang vor dieser DPA.
Anlage I: Technische und organisatorische Maßnahmen
Hosting und Netzwerk
Kundendaten werden auf AWS Lightsail mit einem gehärteten Betriebssystem gehostet (UFW-Firewall, fail2ban, kein öffentlicher Postgres-Port). TLS 1.2+ für den gesamten eingehenden Datenverkehr, terminiert bei Cloudflare und mit einem Cloudflare Origin Certificate erneut zum Ursprungsserver verschlüsselt. HSTS wird erzwungen. Cloudflare WAF und die Helmet-Sicherheitsheader (CSP, X-Content-Type-Options, Referrer-Policy, Permissions-Policy) sind aktiviert.
Zugriffskontrolle und Authentifizierung
Der Zugriff auf die Anwendung erfordert ein eindeutiges Konto und ein Passwort, das den Komplexitätsanforderungen genügt; die Anmeldung ist ratenbegrenzt. Optionale TOTP-basierte 2FA (RFC 6238) mit bcrypt-gehashten Wiederherstellungscodes. Rollenbasierte Zugriffskontrolle mit Standardeinstellungen nach dem Prinzip der geringsten Rechte. Passwörter werden mit bcrypt gehasht (Kostenfaktor ≥ 12). Sitzungen sind kurzlebige JWT (15 Minuten Zugriff, 30 Tage Erneuerung) mit Rotation bei jeder Erneuerung.
Verschlüsselung
Bei der Übertragung: TLS 1.2+ überall (Browser ↔ Cloudflare, Cloudflare ↔ Ursprungsserver, Server ↔ Postgres). Im Ruhezustand: von AWS verwaltete Datenträgerverschlüsselung für die Lightsail-Instanz; SMTP-Zugangsdaten auf Anwendungsebene mit AES-256-GCM verschlüsselt; Wiederherstellungscodes mit bcrypt gehasht.
Protokollierung, Überwachung und Auditierung
Anwendungsfehler werden mit PII-Bereinigung an Sentry weitergeleitet. HTTP-Zugriffsprotokolle über Pino mit Anfrage-IDs. Pro Mandant ein unveränderliches, ausschließlich anhängbares Audit-Protokoll für sicherheitsrelevante Ereignisse (Anmeldung, Rollenänderung, Aktivierung oder Deaktivierung der 2FA, Passwortzurücksetzung, Abrechnungsänderung).
Sicherung und Wiederherstellung
Automatisierte AWS-Lightsail-Snapshots werden mindestens sieben Tage aufbewahrt. Das Wiederherstellungsverfahren wird mindestens jährlich getestet.
Schwachstellenmanagement und Personal
Dependabot ist im Repository sowohl für die Client- als auch für die Server-Pakete aktiviert. Container-Basis-Images werden bei jeder Bereitstellung neu erstellt. Alle Mitarbeiter mit Zugriff auf Kundendaten sind durch schriftliche Vertraulichkeitsverpflichtungen gebunden. Der Zugriff wird über individuelle Konten bereitgestellt; gemeinsam genutzte Zugangsdaten sind untersagt.
Reaktion auf Vorfälle
Dokumentiertes Runbook für Sicherheitsvorfälle; Verpflichtung zur Meldung von Verletzungen innerhalb von 72 Stunden.
Anlage II: Autorisierte Unterauftragsverarbeiter
Die aktuelle Liste der Unterauftragsverarbeiter:
| Unterauftragsverarbeiter | Zweck | Standort | Übermittlungsmechanismus |
|---|---|---|---|
| Amazon Web Services, Inc. (Lightsail) | Hosting von Anwendung und Datenbank | United States | EU SCCs Module 2 |
| Cloudflare, Inc. | CDN, WAF, TLS-Terminierung, DNS | Globales Anycast | EU SCCs Module 2 |
| Stripe, Inc. | Abrechnung von Abonnements und Zahlungsabwicklung | United States | EU SCCs Module 2 |
| Functional Software, Inc. d/b/a Sentry | Überwachung von Anwendungsfehlern (PII bereinigt) | United States | EU SCCs Module 2 |
Kontakt
Fragen zu dieser DPA oder Anforderung einer gegengezeichneten Ausfertigung: [email protected]