DIESE VERSION DER AUFTRAGSVERARBEITUNGSVEREINBARUNG (AVV) VON COZERO IST NICHT MEHR GÜLTIG. DIE AKTUELLE VERSION DER AVV IST HIER VERFÜGBAR.

‍

‍

Zuletzt aktualisiert am: 09.08.2024

Auftragsverarbeitungsvereinbarung (AVV)

1. Präambel, Regelungsgegenstand und Rangfolge

1.1 Diese Auftragsverarbeitungsvereinbarung (die „AVV“) ist integraler Bestandteil des Vertrags zwischen dem Kunden und Cozero über die Erbringung der Vertraglichen Leistungen.

1.2 Diese AVV beschreibt, wie Cozero personenbezogene Daten, die der Kunde Cozero im Zusammenhang mit der Nutzung der Vertraglichen Leistungen durch den Kunden zur Verfügung stellt, in Übereinstimmung mit den Anforderungen der Datenschutzgesetze verarbeiten wird.

1.3 Im Falle eines Widerspruchs haben die Bestimmungen dieser AVV Vorrang vor den Bestimmungen des Vertrags.

2. Definitionen

Die Definitionen in den AGB gelten auch für diese AVV. Zusätzlich gelten die folgenden Definitionen:

2.1 „Datenschutzgesetze“ bezeichnet alle Gesetze und Verordnungen, einschließlich der Gesetze und Verordnungen der Europäischen Union, des Europäischen Wirtschaftsraums und ihrer Mitgliedstaaten, die auf die Verarbeitung personenbezogener Daten anwendbar sind (auch im Zusammenhang mit der Erbringung von Telekommunikationsdiensten und der Durchführung von E-Mail-Marketing), einschließlich, aber nicht beschränkt auf die DSGVO und das deutsche Bundesdatenschutzgesetz (BDSG).

2.2 „Verarbeiten“ oder „Verarbeitung“ bezeichnet jeden Vorgang oder jede Vorgangsreihe, der bzw. die von Cozero im Rahmen der Vertraglichen Leistungen an und/oder mit personenbezogenen Daten ausgeführt wird, ob mit oder ohne Hilfe automatisierter Verfahren, wie etwa das Erheben, das Erfassen, die Organisation, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, das Sperren, das Löschen oder die Vernichtung.

2.3 „Unterauftragsverarbeiter“ bezeichnet einen von Cozero beauftragten dritten Unterauftragnehmer, der im Rahmen seiner Aufgabe, die Vertraglichen Leistungen zu erbringen, personenbezogene Daten verarbeiten wird.

3. Anwendungsbereich, Dauer, Art der Daten und Kategorien von betroffenen Personen

3.1 Nach Maßgabe dieser AVV verarbeitet Cozero personenbezogene Daten im Auftrag des Kunden gemäß Artikel 28 DSGVO.

3.2 Diese AVV gilt für die Dauer der Vertraglichen Leistungen von Cozero im Rahmen des Vertrags und endet automatisch mit Ablauf oder Beendigung des Vertrags, gleich aus welchem Grund.

3.3 Die Verarbeitung kann die folgenden Arten/Kategorien personenbezogener Daten umfassen: personenbezogene Informationen einschließlich Name oder E-Mail-Adresse, Stellenbeschreibung, Zugehörigkeit zu einem Unternehmensstandort, zur Verfügung gestellte persönliche Bilder, IP-Adresse, Nutzungsdaten, Gerätedaten, Referral-Daten, Informationen aus Cookies und Page Tags.

3.4 Die von der Verarbeitung im Rahmen dieser AVV betroffenen Personen gehören den folgenden Kategorien an: (i) Mitarbeiter des Kunden; (ii) Lieferanten des Kunden und (iii) Geschäftskontakte des Kunden.

4. Anweisungen des Kunden

4.1 Während der Erbringung der Vertraglichen Leistungen kann der Kunde Cozero zusätzlich zu den in dieser AVV festgelegten Anweisungen weitere Anweisungen in Bezug auf die Verarbeitung personenbezogener Daten (jede solche Anweisung im Folgenden eine „Verarbeitungsanweisung“) im Zusammenhang mit den Vertraglichen Leistungen erteilen. Jede Verarbeitungsanweisung muss schriftlich oder in elektronischer Form erfolgen. Cozero verarbeitet die personenbezogenen Daten des Kunden gemäß den Anweisungen des Kunden.

4.2 Jede Verarbeitungsanweisung, die die Bestimmungen dieser AVV ändert oder von ihnen abweicht, stellt einen Änderungsantrag in Bezug auf die AGB dar. Cozero wird mit dem Kunden nach Treu und Glauben über jede Änderung der Vertraglichen Leistungen und/oder der Gebühren verhandeln, die sich aus Verarbeitungsanweisungen ergibt.

4.3 Der Kunde ist dafür verantwortlich, dass die Verarbeitungsanweisungen des Kunden mit den Datenschutzgesetzen übereinstimmen.

4.4 Ist Cozero der Auffassung, dass eine Verarbeitungsanweisung Datenschutzgesetze verletzt oder gegen sie verstößt, wird Cozero den Kunden unverzüglich darüber informieren.

5. Pflichten und Rechte des Kunden

5.1 Der Kunde ist der Verantwortliche im Sinne von Artikel 4 Absatz 7 DSGVO. Der Kunde trägt die alleinige Verantwortung für die Richtigkeit, Qualität und Rechtmäßigkeit der personenbezogenen Daten sowie für die Mittel, mit denen der Kunde die personenbezogenen Daten erlangt hat.

5.2 Der Kunde führt gemäß Artikel 30 DSGVO ein Verzeichnis der Verarbeitungstätigkeiten, die in der Verantwortung des Kunden liegen.

6. Pflichten von Cozero

6.1 Cozero verarbeitet personenbezogene Daten nur auf dokumentierte Anweisung des Kunden und ausschließlich zur Erbringung der Vertraglichen Leistungen und wird personenbezogene Daten im Übrigen nicht (i) für andere als die im Vertrag oder in dieser AVV festgelegten Zwecke verarbeiten oder nutzen oder (ii) an Dritte weitergeben, mit Ausnahme von Unterauftragsverarbeitern für die vorgenannten Zwecke oder soweit Cozero hierzu nach dem Recht der Union oder der Mitgliedstaaten, dem Cozero unterliegt, verpflichtet ist. In einem solchen Fall teilt Cozero dem Kunden diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

6.2 Cozero verarbeitet personenbezogene Daten grundsätzlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum. In einigen Fällen kann Cozero personenbezogene Daten auch an Drittdienstleister von Cozero mit Sitz in den Vereinigten Staaten von Amerika übermitteln; Einzelheiten zu den von Cozero eingesetzten Drittdienstleistern entnehmen Sie bitte der Liste der Unterauftragsverarbeiter von Cozero (abrufbar unter https://cozero.io/de/subprocessors). Sollte aus Sicht des Kunden bei einer Verarbeitung personenbezogener Daten in einem Drittland die Durchführung einer Transfer-Folgenabschätzung (Transfer Impact Assessment) erforderlich sein, wird Cozero den Kunden dabei in angemessenem Umfang und nach bestem Wissen unterstützen.

6.3 Cozero stellt sicher, dass seine mit der Verarbeitung personenbezogener Daten befassten und hierzu befugten Mitarbeiter über die Vertraulichkeit der personenbezogenen Daten informiert sind und sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

6.4 Cozero hat einen Datenschutzbeauftragten bestellt: Anja Ruisinger, Cozero GmbH, Zionskirchstraße 73a, 10119 Berlin. Die Person ist per E-Mail unter dpo@cozero.io erreichbar.

7. Technische und organisatorische Maßnahmen

7.1 Wenn Cozero personenbezogene Daten im Auftrag des Kunden verarbeitet, ergreift Cozero alle gemäß Artikel 32 DSGVO erforderlichen Maßnahmen und hat bestimmte technische und organisatorische Sicherheitsmaßnahmen für die Verarbeitung dieser Daten, wie in Anhang 1 näher beschrieben, umgesetzt und wird diese aufrechterhalten. Diese Maßnahmen sollen personenbezogene Daten vor versehentlichem oder unbefugtem Verlust, Zerstörung, Veränderung, Offenlegung oder Zugriff sowie vor allen anderen unrechtmäßigen Formen der Verarbeitung schützen.

7.2 Alle technischen und organisatorischen Sicherheitsmaßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Dementsprechend kann Cozero seine Sicherheitsmaßnahmen ändern und/oder alternative Sicherheitsmaßnahmen umsetzen, sofern diese jedoch nicht hinter dem in Anhang 1 vertraglich vereinbarten Sicherheitsniveau zurückbleiben.

8. Audit-Rechte des Kunden

8.1 Der Kunde kann vor Beginn der Vertraglichen Leistungen und bis zu einmal pro Jahr während der Erbringung der Vertraglichen Leistungen die von Cozero umgesetzten technischen und organisatorischen Maßnahmen prüfen (Audit). Der Kunde kann häufigere Audits durchführen, soweit dies nach den Datenschutzgesetzen erforderlich ist.

8.2 Im Rahmen eines solchen Audits kann der Kunde insbesondere die folgenden Maßnahmen durchführen: (i) der Kunde kann von Cozero alle Informationen einholen, die erforderlich sind, um die Einhaltung der in dieser AVV festgelegten Pflichten nachzuweisen; (ii) der Kunde kann Cozero auffordern, dem Kunden ein bestehendes Zertifikat eines qualifizierten externen Prüfers vorzulegen, und (iii) der Kunde kann nach angemessener vorheriger Absprache während der üblichen Geschäftszeiten und ohne Beeinträchtigung des Geschäftsbetriebs von Cozero eine Vor-Ort-Inspektion derjenigen Teile der Geschäftsräume von Cozero durchführen, in denen personenbezogene Daten verarbeitet werden, vorbehaltlich der zu diesem Zeitpunkt geltenden Sicherheitsrichtlinien von Cozero.

8.3 Um eine Vor-Ort-Inspektion zu beantragen, muss der Kunde Cozero mindestens zwei Wochen vor dem vorgeschlagenen Inspektionstermin einen Inspektionsplan vorlegen, in dem der vorgeschlagene Umfang, die Dauer und das Anfangsdatum der Inspektion beschrieben sind. Cozero prüft den Inspektionsplan und teilt dem Kunden etwaige Bedenken oder Fragen mit (zum Beispiel zu Informationsanfragen, die die Sicherheits-, Datenschutz-, Beschäftigungs- oder sonstigen relevanten Richtlinien von Cozero gefährden könnten).

8.4 Wird der angefragte Prüfungsumfang in einem SSAE 16/ISAE 3402 Typ 2-, ISO-, NIST- oder vergleichbaren Prüfbericht abgedeckt, der innerhalb der vorangegangenen zwölf Monate von einem qualifizierten externen Prüfer erstellt wurde, erklärt sich der Kunde damit einverstanden, diese Feststellungen zu akzeptieren, anstatt ein Audit der von dem Bericht erfassten Systeme zu verlangen.

8.5 Der Kunde stellt Cozero alle im Rahmen dieses Abschnitts erstellten Auditberichte zur Verfügung, sofern dies nicht gesetzlich verboten ist. Der Kunde darf die Auditberichte ausschließlich zu dem Zweck verwenden, zu bestätigen, dass die technischen und organisatorischen Maßnahmen von Cozero den Anforderungen dieser AVV entsprechen. Die Auditberichte sind vertrauliche Informationen der Parteien im Sinne der Bestimmungen des Vertrags.

8.6 Sämtliche Audits erfolgen auf Kosten des Kunden. Jede Anfrage an Cozero, bei einem Audit Unterstützung zu leisten, gilt als gesonderte Leistung.

8.7 Soll ein Dritter das Audit durchführen, muss dieser Dritte vom Kunden und von Cozero einvernehmlich bestimmt werden und vor Durchführung des Audits eine für Cozero akzeptable schriftliche Vertraulichkeitsvereinbarung abschließen.

9. Unterauftragsverarbeiter

9.1 Cozero kann Unterauftragsverarbeiter beauftragen, die Cozero bei der Verarbeitung der personenbezogenen Daten des Kunden unterstützen. Der Kunde erteilt seine vorherige allgemeine Genehmigung für den Einsatz von Unterauftragsverarbeitern durch Cozero. Eine Liste der Unterauftragsverarbeiter ist unter https://cozero.io/de/subprocessors abrufbar. Beabsichtigt Cozero, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, wird Cozero den Kunden über die beabsichtigte Änderung informieren und dem Kunden damit die Möglichkeit geben, dieser Änderung zu widersprechen. Widerspricht der Kunde nicht innerhalb von zwei Wochen nach der Benachrichtigung durch Cozero über die Änderung bezüglich eines Unterauftragsverarbeiters, hat dies dieselbe Wirkung wie eine Zustimmung.

9.2 Cozero stellt sicher, dass alle seine Unterauftragsverarbeiter verpflichtet sind, im Wesentlichen dieselben Pflichten einzuhalten, die Cozero nach dieser AVV obliegen, soweit diese auf ihre Erbringung der Vertraglichen Leistungen anwendbar sind. Cozero bleibt jederzeit für die Einhaltung der Bestimmungen dieser AVV durch alle Unterauftragsverarbeiter verantwortlich, die an der Erbringung der Vertraglichen Leistungen für den Kunden beteiligt sind.

9.3 Soweit Cozero mit Freelancern zusammenarbeitet, die Zugang zu den personenbezogenen Daten des Kunden haben, stellt Cozero sicher, dass Cozero nur mit Freelancern zusammenarbeitet, die hinreichende Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so umgesetzt werden, dass die Verarbeitung den Anforderungen der DSGVO entspricht und den Schutz der Rechte der betroffenen Person gewährleistet. Die Verarbeitung durch einen Freelancer wird durch eine Auftragsverarbeitungsvereinbarung geregelt, die denselben Datenschutzstandard gewährleistet, auf den sich der Kunde und Cozero geeinigt haben. Cozero stellt auf Anfrage eine Liste der Freelancer zur Verfügung.

10. Rechte der betroffenen Personen

10.1 Fordert eine betroffene Person Cozero auf, personenbezogene Daten zu berichtigen, zu löschen oder zu sperren, leitet Cozero diese Aufforderung an den Kunden weiter. Cozero wird ohne vorherige schriftliche Zustimmung des Kunden nicht auf Anfragen betroffener Personen antworten.

10.2 Fordert eine betroffene Person den Kunden auf, personenbezogene Daten zu berichtigen, zu löschen oder zu sperren oder Auskunft über die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten im Zusammenhang mit den Vertraglichen Leistungen zu erteilen, und ist der Kunde nicht in der Lage, der Aufforderung selbst über die Website von Cozero nachzukommen, unterstützt Cozero den Kunden, soweit dies möglich ist, bei der Beantwortung und Erfüllung der Aufforderung durch geeignete technische und organisatorische Maßnahmen, vorausgesetzt, dass (i) der Kunde Cozero schriftlich oder in Textform hierzu anweist und (ii) der Kunde Cozero die Kosten und Auslagen erstattet, die durch die Bereitstellung dieser Unterstützung entstehen.

11. Löschung und Rückgabe von Daten

11.1 Cozero wird ohne vorherige Zustimmung des Kunden keine Kopien oder Duplikate der personenbezogenen Daten des Kunden erstellen. Ungeachtet des vorstehenden Satzes kann Cozero (i) Sicherungskopien erstellen, soweit diese zur Gewährleistung einer ordnungsgemäßen Verarbeitung personenbezogener Daten erforderlich sind, und (ii) Kopien personenbezogener Daten anfertigen und aufbewahren, soweit dies für Cozero zur Erfüllung gesetzlicher Aufbewahrungs- und Speicherpflichten erforderlich ist.

11.2 Nach Beendigung des Vertrags oder zu jedem früheren Zeitpunkt auf schriftliche Anfrage des Kunden wird Cozero nach Wahl des Kunden entweder die personenbezogenen Daten aus den Systemen von Cozero löschen oder diese personenbezogenen Daten an den Kunden zurückgeben und alle Kopien löschen. Cozero haftet nicht für Verluste oder Schäden, die im Anschluss an oder infolge einer solchen Löschung oder Rückgabe entstehen, und es liegt in der Verantwortung des Kunden sicherzustellen, dass alle personenbezogenen Daten, die der Kunde benötigt, vor der Löschung oder Rückgabe gesichert oder repliziert werden.

11.3 Hat Cozero im Zusammenhang mit den Vertraglichen Leistungen vom Kunden Datenträger erhalten, die personenbezogene Daten enthalten, gibt Cozero dem Kunden alle solchen Datenträger zurück, die sich zum Zeitpunkt der Beendigung des Vertrags oder auf schriftliche Anfrage des Kunden noch im Besitz von Cozero befinden.

11.4 Ungeachtet des Vorstehenden bewahrt Cozero nur diejenigen personenbezogenen Daten auf, die erforderlich sind, um dem für Cozero geltenden Unionsrecht oder dem Recht der Mitgliedstaaten nachzukommen.

12. Meldepflichten und weitere Unterstützung

12.1 Cozero wird den Kunden unverzüglich informieren, wenn die personenbezogenen Daten, während sie sich unter der Kontrolle von Cozero befinden, Gegenstand einer (behördlichen) Durchsuchung und Beschlagnahme, eines Pfändungsbeschlusses, einer Beschlagnahme im Rahmen eines Konkurs- oder Insolvenzverfahrens oder ähnlicher Ereignisse oder Maßnahmen durch Dritte werden.

12.2 Cozero wird den Kunden unverzüglich informieren, wenn Cozero feststellt, dass (i) die personenbezogenen Daten Gegenstand eines Sicherheitsvorfalls waren (auch durch einen Cozero-Mitarbeiter) oder (ii) ein Verstoß durch Cozero (auch durch einen Cozero-Mitarbeiter) gegen Datenschutzgesetze, die auf die Erbringung der Vertraglichen Leistungen für den Kunden anwendbar sind, oder gegen eine oder mehrere der in dieser AVV festgelegten Bestimmungen vorliegt. In einem solchen Fall wird Cozero den Sicherheitsvorfall oder Verstoß umgehend untersuchen und angemessene Maßnahmen ergreifen, um dessen Ursache zu ermitteln und eine Wiederholung zu verhindern.

12.3 Ist der Kunde aufgrund des Sicherheitsvorfalls oder Verstoßes verpflichtet, Offenlegungspflichten gemäß Artikel 33 DSGVO zu erfüllen, unterstützt Cozero den Kunden bei der Erfüllung dieser Pflichten, vorausgesetzt, dass (i) der Kunde Cozero in Textform hierzu anweist und (ii) der Kunde Cozero die angemessenen und dokumentierten Kosten und Auslagen erstattet, die Cozero durch die Bereitstellung dieser Unterstützung entstehen.

12.4 Zusätzlich zu den vorstehenden Unterstützungspflichten von Cozero unterstützt Cozero den Kunden unter Berücksichtigung der Art der Verarbeitung und der Cozero zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten des Kunden gemäß Artikel 32 bis 36 DSGVO, vorausgesetzt, dass (i) der Kunde Cozero in Textform hierzu anweist und (ii) der Kunde Cozero die angemessenen und dokumentierten Kosten und Auslagen erstattet, die Cozero durch die Bereitstellung dieser Unterstützung entstehen.

13. Änderungen

13.1 Cozero kann diese Bedingungen jederzeit aus verschiedenen Gründen ändern, etwa um Änderungen des anwendbaren Rechts widerzuspiegeln, um Aktualisierungen der Vertraglichen Leistungen oder der von Cozero eingesetzten technischen und/oder organisatorischen Maßnahmen widerzuspiegeln und um neuen Diensten oder Funktionalitäten Rechnung zu tragen.

14. Sonstiges

14.1 Sollten einzelne Bestimmungen dieser AVV unwirksam oder nicht durchsetzbar sein, so bleiben die Wirksamkeit und Durchsetzbarkeit der übrigen Bestimmungen dieser AVV davon unberührt.

14.2 Diese AVV unterliegt deutschem Recht. Für alle Streitigkeiten aus oder im Zusammenhang mit dieser AVV sind ausschließlich die Gerichte in Berlin zuständig.

14.3 Diese AVV wird zwischen den Parteien ohne gesonderte Unterschrift wie folgt verbindlich vereinbart: Bei einem Vertragsabschluss in Papierform durch einen ausdrücklichen Verweis auf die Nutzungsbedingungen; bei einem Online-Vertragsabschluss durch einen Link auf die Nutzungsbedingungen.

‍

‍

Anhang 1 - Technische und organisatorische Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung

Cozero ist nach ISO/IEC 27001 zertifiziert und verpflichtet sich damit, die international anerkannten Standards für Informationssicherheits-Managementsysteme (ISMS) bei Entwicklung und Betrieb der Cozero-SaaS-Applikation kontinuierlich einzuhalten. Die Zertifizierung wird regelmäßig durch unabhängige Auditoren überprüft. Details zur Zertifizierung sowie weiterführende Informationen zu konkreten technischen und organisatorischen Maßnahmen (TOMs) gemäß Art. 32 DSGVO finden Sie im Cozero Trust Center: https://app.secfix.com/trust/cozero/0ad783ccd4ea4b3b9af1defa0d7ae827

Dazugehörige und weitere technische und organisatorische Maßnahmen sind im Einzelnen:

‍

1. Maßnahmen zur Gewährleistung der Vertraulichkeit

1.1 Physische Zugangskontrolle

Maßnahmen, die Unbefugten den Zugang zu IT-Systemen und Datenverarbeitungsanlagen, die der Verarbeitung personenbezogener Daten dienen, sowie zu vertraulichen Dateien und Datenträgern physisch verwehren.

Beschreibung der physischen Zugangskontrolle:

• Sicherheitsschlösser an Türen
• Sorgfältige Auswahl des Reinigungspersonals
• Zutrittsverwaltung: autorisiertes Personal und Umfang der Autorisierung sind vordefiniert
• Sorgfältige Auswahl des Sicherheitspersonals
• Weitere Maßnahmen des Dienstanbieters

1.2 Logische Zugangskontrolle

Maßnahmen zur Verhinderung der Verarbeitung oder Nutzung von datenschutzrechtlich geschützten Daten durch Unbefugte.

Beschreibung des logischen Zugangskontrollsystems:

• Begrenzung der Anzahl der zugelassenen Mitarbeiter
• Passwortverfahren, d. h. persönliche und individuelle Anmeldedaten bei der Anmeldung am System (z. B. Sonderzeichen, Mindestlänge, regelmäßige Änderung des Passworts)
• Benutzerrechte werden restriktiv vergeben
• Alle An- und Abmeldungen werden aufgezeichnet
• Verwendung einer zentralen Passwortrichtlinie

1.3 Datenzugriffskontrolle

Maßnahmen, die sicherstellen, dass Personen, die zur Nutzung von Datenverarbeitungssystemen berechtigt sind, nur entsprechend ihren Zugriffsrechten auf personenbezogene Daten zugreifen können, so dass Daten während der Verarbeitung, Nutzung und Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

Beschreibung der Datenzugriffskontrolle:

• Begrenzung der Anzahl der zugelassenen Mitarbeiter
• Passwortverfahren, d. h. persönliche und individuelle Anmeldedaten bei der Anmeldung am System (z. B. Sonderzeichen, Mindestlänge, regelmäßige Änderung des Passworts)
• Alle Datenzugriffe werden automatisch protokolliert
• Geringe Anzahl von Systemadministratoren
• Aufzeichnungen und Protokolldateien werden regelmäßig ausgewertet

1.4 Trennungsregel

Maßnahmen, die sicherstellen, dass für verschiedene Zwecke erhobene Daten getrennt verarbeitet und so von anderen Daten und Systemen getrennt werden, dass eine ungeplante Nutzung dieser Daten für andere Zwecke ausgeschlossen ist.

Beschreibung des Prozesses der Trennungskontrolle:

• Die Systeme ermöglichen eine Trennung der Daten (Mandantenfähigkeit), die Daten werden softwareseitig getrennt
• Produktivsysteme und Testsysteme sind voneinander getrennt
• Auf die Datensätze kann nur über die vordefinierten Anwendungen zugegriffen werden
• Datenbankbenutzerrechte werden zentral vergeben und verwaltet

1.5 Maßnahmen zur Pseudonymisierung

Maßnahmen, die den direkten Personenbezug bei der Verarbeitung so reduzieren, dass eine Zuordnung der Daten zu einer bestimmten Person nur unter Einbeziehung von Zusatzinformationen möglich ist. Die Zusatzinformationen müssen durch geeignete technische und organisatorische Maßnahmen vom Pseudonym getrennt aufbewahrt werden.

Beschreibung der Pseudonymisierung:

• keine aufgrund der Arbeit auf einem zentralen Serversystem

2. Maßnahmen zur Gewährleistung der Integrität

2.1 Übertragungs- und Transportkontrolle

Maßnahmen, die sicherstellen, dass die Vertraulichkeit und Integrität der Daten bei der Übermittlung personenbezogener Daten und beim Transport von Datenträgern geschützt ist. Ferner Maßnahmen, die sicherstellen, dass überprüft und festgestellt werden kann, an welche Stellen personenbezogene Daten unter Verwendung von Datenübertragungseinrichtungen übermittelt oder zur Verfügung gestellt werden können oder wurden.

Beschreibung der Übertragungs- und Transportkontrolle:

• HTTPS
• Unnötige Ausdrucke werden abgebrochen
• Keine Verwendung von physischen Datenträgern
• Umfassende Protokollierungsverfahren
• Keine Nutzung von privaten Datenträgern am Arbeitsplatz

2.2 Eingabekontrolle

Maßnahmen, die sicherstellen, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben oder verändert wurden.

Beschreibung des Prozesses der Eingabekontrolle:

• Protokollierung aller Systemaktivitäten und Aufbewahrung dieser Protokolle für mindestens sechs Monate
• Nutzung einer zentralen Rechteverwaltung für die Eingabe, Änderung und Löschung von Daten

3. Maßnahmen zur Gewährleistung der Verfügbarkeit und Belastbarkeit

3.1 Verfügbarkeitskontrolle

Maßnahmen, die sicherstellen, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.

Beschreibung des Verfügbarkeitskontrollsystems:

• Es werden regelmäßig Backups erstellt und 120 Tage lang aufbewahrt
• Ein Sicherungs- und Wiederherstellungsplan ist vorhanden
• Datensicherungsdateien werden an einem sicheren und entfernten Ort aufbewahrt, diverse zusätzliche Maßnahmen werden von den Lieferanten getroffen
• Lokalisierung
• Zusätzlich diverse Maßnahmen der Serverdienstleister

3.2 Schnelle Wiederherstellung

Maßnahmen, die sicherstellen, dass die Verfügbarkeit von und der Zugang zu personenbezogenen Daten und verwendeten Systemen im Falle eines physischen oder technischen Zwischenfalls schnell wiederhergestellt werden können.

Beschreibung der Maßnahmen zur schnellen Wiederherstellung:

• Verfahren zur Datensicherung

4. Maßnahmen zur regelmäßigen Prüfung und Bewertung der Sicherheit der Datenverarbeitung

Maßnahmen, die gewährleisten, dass die Daten sicher und im Einklang mit den Datenschutzvorschriften verarbeitet werden. Maßnahmen, die sicherstellen, dass personenbezogene Daten, die im Auftrag des Verantwortlichen verarbeitet werden, nur gemäß den Anweisungen des Verantwortlichen verarbeitet werden können.

Beschreibung der Maßnahmen zur Auftragskontrolle:

• Einbindung der Datenschutzbeauftragten für alle datenschutzrelevanten Fragen
• Formalisierte Prozesse für Datenschutzvorfälle

‍