Vereinbarung zur Auftragsverarbeitung

Präambel 

Der Auftraggeber hat mit der Code Gaia GmbH einen Vertrag abgeschlossen, im Rahmen dessen/derer der Auftragsverarbeiter personenbezogene Daten des Auftraggebers verarbeitet. Diese Vereinbarung konkretisiert die etwaig aufgrund des Hauptvertrags bestehenden Verpflichtungen der Vertragsparteien zum Datenschutz. Sie findet Anwendung auf alle Produkte und Dienstleistungen, bei denen Beschäftigte des Auftragnehmers oder durch den Auftragnehmer Beauftragte, personenbezogene Daten („Daten“) des Auftraggebers verarbeiten.

§ 1 Gegenstand und Dauer der Vereinbarung; Datenverarbeitungstätigkeiten

(1) Die Datenverarbeitung im Sinne von Art. 4 Nr. 2 und Art. 28 DS-GVO erfolgt zum Zweck der Erbringung der im Hauptvertrag (Angebot) geregelten Leistungen und auf Grundlage dieses Vertrages. Aus dem Hauptvertrag sowie aus Anlage 1 (Beschreibung der Datenverarbeitungstätigkeiten) ergeben sich Art und Gegenstand der Verarbeitung, betroffene Personen sowie Kategorien von Daten.

Die Verarbeitung der Auftraggeber-Daten durch den Auftragnehmer findet grundsätzlich innerhalb der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum (EWR) statt. Es ist dem Auftragnehmer gleichwohl gestattet, Auftraggeber-Daten unter Einhaltung der Bestimmungen dieses Vertrags auch außerhalb des EWR zu verarbeiten, wenn er den Auftraggeber vorab über den Ort der Datenverarbeitung informiert und die Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind (z. B. Angemessenheitsbeschluss der Kommission, Standarddatenschutzklauseln, genehmigte Verhaltensregeln). 

(2) Die Laufzeit dieses Vertrages richtet sich nach der Laufzeit des Hauptvertrages; sie endet automatisch mit Beendigung des Hauptvertrags bzw., im Falle mehrerer Verträge, mit dem Ende des am längsten laufenden Vertrags, sofern sich aus den Bestimmungen dieses Vertrages keine darüber hinausgehenden Verpflichtungen ergeben. 

Der Auftraggeber kann diesen Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrages vorliegt, der Auftragnehmer eine Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert. Insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art. 28 DS-GVO abgeleiteten Pflichten stellt einen schweren Verstoß dar. 

§ 2 Anwendungsbereich und Verantwortlichkeit 

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag/auf Weisung des Auftraggebers. Dies umfasst Tätigkeiten, die im Hauptvertrag konkretisiert sind. Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich („Verantwortlicher“ im Sinne des Art. 4 Nr. 7 DS-GVO). 

Die Weisungen werden anfänglich durch den Vertrag festgelegt und können vom Auftraggeber danach in schriftlicher Form oder in einem elektronischen Format (Textform) an die vom Auftragnehmer bezeichnete Stelle durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung). Weisungen, die im Vertrag nicht vorgesehen sind, werden als Antrag auf Leistungsänderung behandelt. Mündliche Weisungen sind unverzüglich schriftlich oder in Textform zu dokumentieren bzw. bestätigen.

§ 3 Pflichten des Auftragnehmers; technisch organisatorische Maßnahmen

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach Weisungen des Auftraggebers, sofern er nicht zu einer anderen Verarbeitung durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, verpflichtet ist (z. B. Ermittlungen von Strafverfolgungs- oder Staatsschutzbehörden). In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, es sei denn, eine solche Mitteilung verbietet sich wegen eines wichtigen öffentlichen Interesses (Art. 28 Abs. 3 Satz 2 lit. a DS-GVO). 

(2) Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er wird technische und organisatorische Maßnahmen zum angemessenen Schutz der Daten des Auftraggebers treffen, die den Anforderungen der DS-GVO (Art. 32) genügen und die die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherstellen (vgl. Anlage 3). Dem Auftraggeber sind diese technischen und organisatorischen Maßnahmen bekannt und er trägt die Verantwortung dafür, dass diese für die Risiken der zu verarbeitenden Daten ein angemessenes Schutzniveau bieten.

Insbesondere verwendet der Auftragnehmer die zur Verarbeitung überlassenen personenbezogenen Daten für keine anderen, insbesondere nicht für eigene Zwecke. Kopien oder Duplikate der personenbezogenen Daten werden ohne Wissen des Auftraggebers nicht erstellt. 

Der Auftragnehmer sichert im Bereich der auftragsgemäßen Verarbeitung von personenbezogenen Daten die vertragsgemäße Abwicklung aller vereinbarten Maßnahmen zu. Er sichert zu, dass die für den Auftraggeber verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden. 

(3) Der Auftragnehmer gewährleistet, seinen Pflichten nach Art. 32 Abs. 1 lit. d) DS-GVO nachzukommen und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung einzusetzen. Das Ergebnis der Überprüfung ist zu dokumentieren. 

(4) Bei der Erfüllung der Rechte der betroffenen Personen nach Art. 12 bis 22 DS-GVO durch den Auftraggeber, der Erstellung der Verzeichnisse von Verarbeitungstätigkeiten sowie bei erforderlichen Datenschutz-Folgeabschätzungen des Auftraggebers hat der Auftragnehmer im notwendigen Umfang mitzuwirken und den Auftraggeber soweit möglich angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. e und f DS-GVO). Er hat die dazu erforderlichen Angaben jeweils unverzüglich an die in Anlage 1 Ziff.4 benannte Stelle des Auftraggebers weiterzuleiten. 

(5) Der Auftragnehmer wird den Auftraggeber unverzüglich darauf aufmerksam machen, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DS-GVO). Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber nach Überprüfung bestätigt oder geändert wird. 

(6) Der Auftragnehmer hat personenbezogene Daten aus dem Auftragsverhältnis zu berichtigen, zu löschen oder deren Verarbeitung einzuschränken, wenn der Auftraggeber dies mittels einer Weisung verlangt und berechtigte Interessen des Auftragnehmers dem nicht entgegenstehen. Auskünfte über personenbezogene Daten aus dem Auftragsverhältnis an Dritte oder den Betroffenen darf der Auftragnehmer ebenfalls nur nach vorheriger Weisung oder Zustimmung durch den Auftraggeber erteilen. 

(7) Der Auftragnehmer bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften der DS-GVO bekannt sind. Der Auftragnehmer verpflichtet sich, bei der auftragsgemäßen Verarbeitung der personenbezogenen Daten des Auftraggebers die Vertraulichkeit zu wahren. Diese besteht auch nach Beendigung des Vertrages fort. 

Der Auftragnehmer sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter vor Aufnahme der Tätigkeit mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht und für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses in geeigneter Weise zur Verschwiegenheit verpflichtet (Art. 28 Abs. 3 Satz 2 lit. b und Art. 29 DS-GVO). Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Betrieb. 

§ 4 Pflichten des Auftraggebers 

(1) Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er in den Auftragsergebnissen Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt. 

(2) Der Auftraggeber nennt dem Auftragnehmer den Ansprechpartner für im Rahmen des Vertrages anfallende Datenschutzfragen (s. Anlage 1 Ziff. 5).

(3) Der Auftraggeber ist verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen des Auftragnehmers vertraulich zu behandeln. Diese Verpflichtung bleibt auch nach Beendigung dieses Vertrages bestehen. 

§ 5 Mitteilungspflichten des Auftragnehmers bei Störungen der Verarbeitung und bei Verletzungen des Schutzes personenbezogener Daten 

(1) Der Auftragnehmer teilt dem Auftraggeber unverzüglich Störungen, Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen sowie gegen datenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten mit. Dies gilt vor allem auch im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten des Auftraggebers nach Art. 33 und Art. 34 DS-GVO. 

(2) Der Auftragnehmer sichert zu, den Auftraggeber erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DS-GVO angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DS-GVO). Meldungen für den Auftraggeber nach Art. 33 oder 34 DS-GVO darf der Auftragnehmer nur nach vorheriger Weisung gem. Ziff. 4 dieses Vertrages durchführen. 

§ 6 Unterauftragsverhältnisse (weitere Auftragsverarbeiter)

(1)  Der Auftraggeber erteilt dem Auftragnehmer hiermit die allgemeine Genehmigung, weitere Auftragsverarbeiter hinsichtlich der Verarbeitung von Auftraggeber-Daten hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses hinzugezogenen weiteren Auftragsverarbeiter ergeben sich aus Anlage 2. Generell nicht genehmigungspflichtig sind Vertragsverhältnisse mit Dienstleistern, die die Prüfung oder Wartung von Datenverarbeitungsverfahren oder -anlagen durch andere Stellen oder andere Nebenleistungen zum Gegenstand haben, auch wenn dabei ein Zugriff auf Auftraggeber-Daten nicht ausgeschlossen werden kann, solange der Auftragnehmer angemessene Regelungen zum Schutz der Vertraulichkeit der Auftraggeber-Daten trifft.

(2)  Der Auftragnehmer wird den Auftraggeber über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder die Ersetzung weiterer Auftragsverarbeiter informieren. Dem Auftraggeber steht im Einzelfall ein Recht zu, Einspruch gegen die Beauftragung eines potenziellen weiteren Auftragsverarbeiters zu erheben. Ein Einspruch darf vom Auftraggeber nur aus wichtigem, dem Auftragnehmer nachzuweisenden Grund erhoben werden. Soweit der Auftraggeber nicht innerhalb von 14 Tagen nach Zugang der Benachrichtigung Einspruch erhebt, erlischt sein Einspruchsrecht bezüglich der entsprechenden Beauftragung. Erhebt der Auftraggeber Einspruch, ist der Auftragnehmer berechtigt, den Hauptvertrag und diesen Vertrag mit einer Frist von 3 Monaten zu kündigen.

(3) Für den Fall der Beauftragung von Unterauftragnehmern ist der Auftragsverarbeiter verpflichtet, mit jedem Unterauftragsverarbeiter eine Vereinbarung zu treffen, die den Unterauftragsverarbeiter im Wesentlichen die gleichen Verpflichtungen auferlegt, wie sie nach dem hier vorliegenden Auftragsverarbeitungsvertrag auch für den Auftragsverarbeiter gelten. 

§ 7 Nachweismöglichkeiten

(1) Der Auftragnehmer weist dem Auftraggeber die Einhaltung der in diesem Vertrag niedergelegten Pflichten mit geeigneten Mitteln nach. 

(2) Sollten im Einzelfall Inspektionen durch den Auftraggeber oder einen von diesem beauftragten Prüfer erforderlich sein, werden diese zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs nach Anmeldung unter Berücksichtigung einer angemessenen Vorlaufzeit und höchstens einmal jährlich durchgeführt. Der Auftragnehmer darf diese von der vorherigen Anmeldung mit angemessener Vorlaufzeit und von der Unterzeichnung einer Verschwiegenheitserklärung hinsichtlich der Daten anderer Kunden und der eingerichteten technischen und organisatorischen Maßnahmen abhängig machen. Sollte der durch den Auftraggeber beauftragte Prüfer in einem Wettbewerbsverhältnis zu dem Auftragnehmer stehen, hat der Auftragnehmer gegen diesen ein Einspruchsrecht. 

(3) Sollte eine Datenschutzaufsichtsbehörde oder eine sonstige hoheitliche Aufsichtsbehörde des Auftraggebers eine Inspektion vornehmen, gilt grundsätzlich Absatz 2 entsprechend. Eine Unterzeichnung einer Verschwiegenheitsverpflichtung ist nicht erforderlich, wenn diese Aufsichtsbehörde einer berufsrechtlichen oder gesetzlichen Verschwiegenheit unterliegt, bei der ein Verstoß nach dem Strafgesetzbuch strafbewehrt ist.

§ 8 Verpflichtungen des Auftragnehmers nach Beendigung des Auftrags, Art. 28 Abs. 3 Satz 2 lit. g DS-GVO 

Nach Abschluss der vertraglichen Arbeiten hat der Auftragnehmer sämtliche in seinen Besitz sowie an Subunternehmen gelangte Daten, Unterlagen und erstellte Verarbeitungs- oder Nutzungsergebnisse, die im Zusammenhang mit dem Auftragsverhältnis stehen, 

dem Auftraggeber auszuhändigen bzw. datenschutzgerecht zu löschen bzw. zu vernichten/vernichten zu lassen: 

Die Löschung bzw. Vernichtung ist dem Auftraggeber mit Datumsangabe schriftlich oder in einem dokumentierten elektronischen Format zu bestätigen. 

§ 9 Haftung 

Auf Art. 82 DS-GVO wird verwiesen. 

§ 10 Sonstiges 

Vereinbarungen zu den technischen und organisatorischen Maßnahmen sowie Kontroll- und Prüfungsunterlagen sind von beiden Vertragspartnern für ihre Geltungsdauer und anschließend noch für 3 volle Kalenderjahre aufzubewahren. 

Für Nebenabreden ist grundsätzlich die Schriftform oder ein dokumentiertes elektronisches Format erforderlich. 

Sollte das Eigentum oder die zu verarbeitenden personenbezogenen Daten des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich zu verständigen. 

Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der für den Auftraggeber verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen. 

Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht. 

Mit ihrer Unterschrift erklären sich die Parteien mit deren Inhalt und ihren Anlagen einverstanden. 

Anlage 1: Beschreibung der Datenverarbeitungstätigkeiten

Anlage 2: Unterauftragnehmer des Auftragnehmers

Anlage 3: Technische und organisatorische Maßnahmen des Auftragnehmers gem. Art 32 DS-GVO

Anlage 1: Beschreibung der Datenverarbeitungstätigkeiten

1. Kategorien der personenbezogenen Daten

#	Datenkategorie	Beispiel
1	Kontakt-, Organisationdaten (Kunden, Geschäftspartner, Dritten)	Name, Vorname, Anrede, Benutzername, Kundennummer, Adresse, E-Mail-Adresse, Telefonnummer, Gesellschaft, Bereich, Abteilung
2	Personal-/Personalstammdaten	Name, Vorname, Anrede, Benutzername, E-Mail-Adresse, Telefonnummer, Gesellschaft, Zuständigkeiten
3	Bonitäts- und Bankdaten	Bankverbindungs- und Kontodaten, Bonitätsauskünfte, Kreditkartennummer, etc.
4	Vertrags- und BestandsdatenAbrechnungsdaten	Beauftragte Leistungen, gekaufte Produkte, Datum, Kaufvertrag, Kaufpreis, Garantien, Abrechnungsdaten/Verbrauchsdaten, Informationen zum ZahlungsverhaltenRechnungen, Tätigkeitsnachweise
5	Kommunikationsdaten	E-Mailverlauf, Anrufhistorie, Kommunikationsverlauf in CRM-Systemen, etc.
6	IT-Nutzungsdaten	User-ID, Rollen, Berechtigungen, Login-Zeiten, Rechnername, IP-Adressen von Endgeräten, mit denen auf das System zugegriffen wurde, Software, Virenschutz, Softwareaktualisierung,geloggte Aktivität (z.B. Änderungen an der Konfiguration des Systems),Zutrittsdaten (Ort und Zeitpunkt von Zutritten)
7	Besonders sensible personenbezogene Daten	Gehaltsabrechnung, religiöse oder weltanschauliche Überzeugungen

1. Kategorien betroffener Personen

Kategorien betroffener Personen

Beschäftigte / Mitarbeiter des Auftraggebers bzw. seiner Beteiligungen

Kunden

Lieferanten des Auftraggebers

Geschäftspartner des Auftraggebers

Interessenten / Bewerber / Außenstehende

1. Weisungsempfangende Personen des Auftragnehmers

Der Auftragnehmer benennt folgenden Personenkreis, der zum Empfang von Weisungen des Auftraggebers berechtigt ist.

• Niklas Schönstein, Geschäftsführer, +49 160 578 1777, niklas.schoenstein@codegaia.io

• Markus Adler, Geschäftsführer, +4915168518847,

markus.adler@codegaia.io 

1. Datenschutzbeauftragter des Auftragnehmers
   

Dr. Volker Wodianka, Wodianka privacy legal GmbH
Dockenhudener Straße 12a, 22587 Hamburg
T  +49 (0)40 2110786-0, M +49 (0) 151 44 57 66 40

Anlage 2: Unterauftragnehmer des Auftragnehmers

Der Auftragnehmer  setzt die nachfolgenden Unterauftragnehmer , unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DSGVO ein. Über Änderungen der Unterauftragnehmer informiert der Auftragnehmer den Auftraggeber.

1. Amazon Web Services EMEA SARL

Rechenzentrumsdienstleistungen *

Niederlassung Deutschland

Marcel-Breuer-Str. 12, 

80807 München, Deutschland

Sitz der Zweigniederlassung: München

* Das hier verwendete Rechenzentrum “eu-central-1” befindet sich in Frankfurt am Main, Deutschland. 

1. Google Ireland Limited

Rechenzentrumsdienstleistungen *

Google Ireland Limited

Gordon House, Barrow Street

Dublin 4

Ireland

* Das hier verwendete Rechenzentrum “Europe” befindet sich in Dublin, Irland. 

1. Mistral AI

Rechenzentrumsdienstleistungen *

15 Rue Des Halles

75001 Paris

France

* Das hier verwendete Rechenzentrum befindet sich in Schweden

1. Amplitude, Inc.

Rechenzentrumsdienstleistungen*

EMEA Headquarters

Keizersgracht 277

1016 ED Amsterdam

The Netherlands

*Das hier verwendete Rechenzentrum befindet sich in Frankfurt am Main, Deutschland

1. Intercom R&D Unlimited Company

* Rechenzentrumsdienstleistungen

124 St Stephen’s Green

Dublin 2, D02 C628

Republic of Ireland

*Das hier verwendete Rechenzentrum befindet sich in Dublin, Irland. 

1. MailerSend, Inc.

*Rechenzentrumsdienstleistungen

228 Park Ave S
PMB 54955
New York 10003-1502
Vereinigte Staaten
*Das hier verwendete Rechenzentrum befindet sich in Belgien.  Transfermechanismus DPF

Anlage 3: Technische und organisatorische Maßnahmen des Auftragnehmers gem. Art 32 DS-GVO

 „Technisch-organisatorische Maßnahmen“ der Code Gaia GmbH

1. Vertraulichkeit

Zugangskontrolle

Sämtliche durch den Auftragsverarbeiter beauftragte Rechenzentren für den Betrieb der Produktions- und Backupsysteme sind mit zeitgemäßen Backupechanismen zum physischen Zugangsschutz versehen. Diese umfassen Wachschutz, Videoüberwachung und elektronische Zugangssysteme inkl. Protokollierung.

Eingesetzte Datenträger zur Speicherung der Daten sind auf Datenträgerebene mit, nach aktuellem Stand der Technik als sicher angesehenen, Passwörtern unter Verwendung von zeitgemäßen und sicheren Verschlüsselungsverfahren verschlüsselt. Mitarbeiter der Rechenzentren mit autorisiertem Zugriff auf die Hardware haben dadurch keine Möglichkeit, auf Daten zuzugreifen. Ihnen sind auch keine Zugangsdaten zu den durch den Auftragsverarbeiter betriebenen Systemen bekannt.

Die für die SaaS Lösungen des Auftragsverarbeiters verwendeten öffentlichen IP-Adressen erlauben ausschließlich den Zugriff über die Anwendungsprotokolle HTTP, HTTPS und SMTP.

Zugriffskontrolle

Anwendung eines strikten Need to Know und Least Privilege Prinzips für jeden System- und Datenzugriff. Zugriffsrechte werden auf Basis der Job-Verantwortlichkeiten erteilt. Der Zugriff auf die Administrationsoberfläche für Support-Mitarbeiter ist durch eine Authentifizierung (auf HTTP- sowie Applikationsebene) und gesicherten Verbindung geschützt. Autorisierungen werden nur erteilt auf Basis von gültigen Nutzername/Passwort-Kombinationen oder explizit durch den Verantwortlichen erstellte Authentifizierungsschlüssel. Passwörter werden nur verschlüsselt (aktueller Hash Algorithmus + Salt) im System abgelegt, sodass niemand – auch kein Mitarbeiter des Auftragsverarbeiters – ein Passwort in lesbarer und anderweitig verwendbarer Form einsehen kann. Die Weitergabe von Informationen aus den Rechenzentren an Dritte bedarf stets der Zustimmung des Auftragsverarbeiters, sofern nicht zwingendes Recht Gegenteiliges bestimmt.

Trennungskontrolle

Die Software-Architektur der SaaS-Lösungen des Auftragsverarbeiters folgt einem Multi-Tenant Konzepts. Dabei erhält jeder Kunde auf dem System einen vollständig von allen anderen Kunden abgetrennten Arbeitsbereich („Tenant“). Dies spiegelt sich technisch durch ein globales Berechtigungssystem für sämtliche Objekte und Nutzerdaten wieder.

Jeder Kunde erhält einen für sich abgeschlossenen Bereich, auf dem ausschließlich von ihm autorisierte Benutzer zugreifen können. Der Auftragsverarbeiter nimmt zu keinem Zeitpunkt Zugriff auf die in einem Arbeitsbereich liegenden Daten, es sei denn, der Verantwortliche autorisiert eigenständig einen Mitarbeiter des Auftragsverarbeiters für einen stets begrenzten Zeitraum im Rahmen eines Support-Falles.

Die einzige Zugriffsmöglichkeit am Berechtigungssystem vorbei wäre ein direkter Zugriff auf die lokal gehaltene Datenbank. Dieser Zugriff ist nur von den Hauptverantwortlichen (oder deren Vertretern) für den technischen Betrieb sowie Wartung der Produktivsysteme möglich. Die zuständigen Personen sind darauf verpflichtet, keinen Zugriff auf die Daten zu nehmen, außer dem Zwecke der Systemwartung.

Pseudonymisierung (Art. 32 Abs. 1 lit. a DS-GVO; Art. 25 Abs. 1 DS-GVO)

Innerhalb der Cloud-Umgebung erfolgt ein Logging aus Sicherheits- und Wartungsgründen. Alle Benutzerdaten werden dabei pseudonymisiert, außer die sicherheitstechnischen Maßnahmen erlauben dies nicht.  Ein Beispiel stellt die Überwachung der Authentifizierung dar, da hier die E-Mailadressen für die Erkennung von Angriffen benötigt werden. Der Zugriff auf Logs ist zweckgebunden und auf einen explizit autorisierten Personenkreis beschränkt.

Personenbezogene Daten, die vom Verantwortlichen in Code Gaia-Systemen hochgeladen werden, müssen unter Umständen vom Verantwortlichen selbst pseudonymisiert werden.

2. Integrität (Art. 32 (1) lit. b DSGVO)

Weitergabekontrolle

Die Weitergabe von Informationen aus den Rechenzentren an Dritte bedarf der Zustimmung des Auftraggebers.

Ein Zugriff auf die Dienste des Auftragsverarbeiters ist generell nur durch eine Anmeldung auf Benutzerebene möglich, ohne diese kann auf keine Daten zugegriffen werden. Der Zugriff per API ist ebenfalls nur durch Anmeldung auf Benutzerebene oder einem vom Benutzer verwalteten API-Schlüssel möglich. Die Benutzeranmeldung gilt auch für Mitarbeiter des Auftragsverarbeiters und Servicetechniker. Der clientseitige Zugriff auf die Cloud-Systeme ist nach Industriestandards und mittels aktueller Algorithmen abgesichert und verschlüsselt. Die Aktualität und Sicherheit der Algorithmen und eingesetzten Technologien wird regelmäßig überprüft, bei bekannten Sicherheitsproblemen werden diese abgeändert. Eine Verschlechterung der Sicherheit ist hier in keinem Fall vorgesehen.

Der administrative Zugriff ist unter “Zugangskontrolle” erläutert. Hier werden konsequent verschlüsselte Verbindungen nach Industriestandards eingesetzt sowie ein zweiter Faktor für die Authentifizierung.

Werden Daten vom Verantwortlichen auf Verantwortlichenseite an den Code Gaia Customer Service übergeben, hat der Verantwortliche zu gewährleisten, dass ein ausreichender Schutz bei der Übertragung genutzt wird. Hier können z.B. verschlüsselte Archive genutzt werden und das Passwort telefonisch übertragen werden. Die Übergabe von physischen Datenträgern ist nicht vorgesehen.

Eingabekontrolle

Es findet eine nicht abschaltbare, nicht umgehbare, anwendungsseitige Protokollierung der Eingabe-, Änderungs- sowie Lösch-Operationen statt. Der Verantwortliche kann auf Anfrage Einsicht in das erzeugte Protokoll erhalten.

3. Verfügbarkeit und Belastbarkeit (Art. 32 (1) lit. b DSGVO)

Verfügbarkeitskontrolle

Sämtliche Daten werden in einem Intervall auf von den Quell-Servern örtlich getrennte Backup-Server gesichert. Es erfolgt eine Übertragung auf den örtlich verteilten Backup-Server über eine verschlüsselte Leitung mit einer Verschlüsselung auf Basis aktueller Industriestandards. Auf den Servern wird generell eine Antivirus/Antimalware Lösung eingesetzt sowie ein Rootkitschutz.

Um die Integrität der Daten zu sichern und Verlust zu verhindern, werden auf den Serversystemen generell redundante RAID Speichersysteme oder gleichwertiges verwendet.

4. Verfahren zur regelmäßigen Überprüfung

Bewertung und Evaluierung (Art. 32 (1) lit. d DSGVO; Art. 25 (1) DSGVO)

Die Systeme des Auftragsverarbeiters werden quartalsweise durch Vulnerability Scanner untersucht und regelmäßig externen Penetrationstests unterzogen. Die Ergebnisse daraus fließen direkt in den Entwicklungsprozess ein. Notwendige Anpassungen werden umgehend vorgenommen.

Vom Auftragsverarbeiter verwendete Rechenzentren unterliegen regelmäßigen Überprüfungen, die deren IT-Sicherheitsabteilung kontrolliert.

Auftragskontrolle

Der Verantwortliche beauftragt den Auftragsverarbeiter ausschließlich mit dem Hosting und dem Betrieb des im zugrundeliegenden Vertrages vereinbarten Produktes. Der Auftragsverarbeiter sichert zu, die Daten nicht zu anderen als den im Hauptvertrag festgelegten Zwecken zu verarbeiten.

Die betroffenen Mitarbeiter des Auftragsverarbeiters bzw. die einbezogenen Subunternehmer sind bzgl. des Zweckbezugs und der Weisungen des Auftraggebers instruiert und verpflichtet.

Ausnahmen müssen ggf. durch den Verantwortlichen genehmigt werden.

5. Managementsystem zur Informationssicherheit und Datenschutz

Der Auftragsverarbeiter hat im Jahr 2023 die ISO/IEC 27001 Zertifizierung durch eine unabhängige Innung erlangt. Im Rahmen der Zertifizierung wurden unter anderem Themen wie Risikomanagement, Sicherheitspolitik, Organisation der Informationssicherheit, Sicherheitsmaßnahmen, Compliance, Überwachung und Verbesserung, Incident Management sowie Datenschutz geprüft. Auf Nachfrage des Auftraggebers kann das Zertifikat an den Auftraggeber übermittelt werden.