Geltende Fassung 2026110901 (Version 1.0, Stand 09.11.2026)

Feste Adresse dieser Fassung: s2f.site/avv/2026110901. Maßgeblich ist die Fassung, die Ihr Auftrag nennt. Frühere Fassungen auf dieser Website: keine.

Vereinbarung zur Auftragsverarbeitung nach Artikel 28 DSGVO

Version 1.0, Fassung 2026110901, Stand 09.11.2026

zwischen

dem Auftraggeber, der in dem Auftrag nach Ziffer 1.1 genannt ist, im Folgenden "Auftraggeber oder Partei 1",

und

Secure 2 Fiber GmbH, Am Brambusch 24, 44536 Lünen, Sitz Traunstein, Amtsgericht Traunstein HRB 32851, im Folgenden "Auftragnehmer oder Partei 2",

zusammen die "Parteien", jede einzelne eine "Partei".

Geschlechtsbezogene Formulierungen gelten für Frauen und Männer gleichermaßen.

Präambel

Der Auftragnehmer vertreibt Hard- und Softwareprodukte der Marke AIM und erbringt dazu Dienst- und/oder Werkleistungen. Ein Teil dieser Leistungen kann die Verarbeitung personenbezogener Daten im Auftrag des Auftraggebers umfassen. Der Verkauf und die Lieferung von Produkten gehören nicht dazu. Dieser Auftragsverarbeitungsvertrag ("AVV") konkretisiert die sich aus der Beauftragung des Auftragnehmers ergebenden datenschutzrechtlichen Pflichten wie folgt:

1. Verarbeitung personenbezogener Daten

1.1 Die Parteien haben vereinbart, dass der Auftragnehmer Dienst- und/oder Werkleistungen aufgrund eines Auftrags erbringt, der nach §3 der Allgemeinen Geschäftsbedingungen des Auftragnehmers zustande gekommen ist (nachstehend "Referenzvertrag"). Der Referenzvertrag nennt diesen AVV mit Version, Fassung und der Adresse, unter der er abrufbar ist. Er bezieht die Allgemeinen Geschäftsbedingungen des Auftragnehmers in der Fassung ein, die er nennt. Die Allgemeinen Geschäftsbedingungen sind unter https://s2f.site/terms abrufbar. Weitere Aufträge, die auf diesen AVV Bezug nehmen, sind Teil des Referenzvertrags.

1.2 Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten des Auftraggebers (nachstehend "Daten") durch den Auftragnehmer im Auftrag des Auftraggebers in dem zur Leistungserbringung nach dem Referenzvertrag erforderlichen Umfang.

1.3 Die Art und den Zweck der vorgesehenen Verarbeitung von Daten, die Art der Daten und die Kategorien der betroffenen Personen legt Anlage A1 zu diesem AVV ("AVV Leistungsbeschreibung") für jede Leistungsart des Auftragnehmers fest. Welche Leistungsarten der Auftraggeber bezieht, ergibt sich aus dem Referenzvertrag. Für die übrigen Leistungsarten gilt Anlage A1 nicht. Leistungen, die Anlage A1 Ziffer 2 als Leistungen ohne Auftragsverarbeitung nennt, fallen nicht unter diesen AVV. Ergänzend gilt die Anlage A als Besondere Vertragsbedingungen für Datenverarbeitung im Auftrag ("BVB AVV"), die diesem AVV beigefügt ist. Die BVB AVV sind die Standardvertragsklauseln der Europäischen Kommission nach Artikel 28 Absatz 7 DSGVO (Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021). Die vereinbarte Liste der Unterauftragsverarbeiter nach Klausel 7.7 der BVB AVV steht in Anlage A2 ("Liste der Unterauftragsverarbeiter"). Die durch den Auftragnehmer ergriffenen technischen und organisatorischen Maßnahmen (TOMs) beschreibt Anlage A3 ("TOM"). Sie sind gemäß der internationalen Normen ISO/IEC 27001:2022 und ISO/IEC 27002:2022 (deutsche Fassungen: DIN EN ISO/IEC 27001:2024-01 und DIN EN ISO/IEC 27002:2024-01) gegliedert und in der jeweils geltenden Fassung unter https://s2f.site/toms veröffentlicht.

1.4 Die Rechte und Pflichten der Parteien nach Artikel 28 Absatz 3 und 4 DSGVO regelt die BVB AVV, und zwar insbesondere: die Verarbeitung nur auf dokumentierte Weisung, auch für Übermittlungen in Drittländer (Klauseln 7.1 und 7.8), die Vertraulichkeit der befugten Personen (Klausel 7.4 Buchstabe b), die Sicherheit der Verarbeitung nach Artikel 32 DSGVO (Klausel 7.4 Buchstabe a mit Anhang III), den Einsatz von Unterauftragsverarbeitern (Klausel 7.7), die Unterstützung bei Anträgen betroffener Personen und bei den Pflichten nach Artikel 32 bis 36 DSGVO (Klauseln 8 und 9), die Löschung oder Rückgabe der Daten nach Ende der Verarbeitung (Klausel 10 Buchstabe d) sowie Nachweise, Überprüfungen und den Hinweis auf rechtswidrige Weisungen (Klauseln 7.6 und 7.1 Buchstabe b). Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen ergeben sich aus diesem AVV und der Anlage A1.

1.5 Verarbeitet der Auftraggeber die Daten seinerseits im Auftrag eines Dritten, insbesondere als Wiederverkäufer, der Leistungen des Auftragnehmers für seinen eigenen Kunden bezieht, ist der Auftragnehmer weiterer Auftragsverarbeiter im Sinne von Artikel 28 Absatz 4 DSGVO. In diesem Fall gilt: Der Auftraggeber stellt sicher, dass seine Weisungen mit den Weisungen seines Verantwortlichen übereinstimmen und dass dieser dem Einsatz des Auftragnehmers und der Unterauftragsverarbeiter nach Anlage A2 zugestimmt hat. Der Auftraggeber leitet Mitteilungen des Auftragnehmers nach Klausel 7.7 und Klausel 9 BVB AVV unverzüglich an seinen Verantwortlichen weiter. Die Rechte des Verantwortlichen nach der BVB AVV übt der Auftraggeber aus. Er nennt im Referenzvertrag, für welchen Verantwortlichen er den Auftrag erteilt.

2. Abschluss und Vertragsdauer

2.1 Dieser AVV kommt zwischen den Parteien zustande, wenn der Referenzvertrag zustande kommt, der diesen AVV nach Ziffer 1.1 nennt. Nach §3 der Allgemeinen Geschäftsbedingungen des Auftragnehmers kommt der Referenzvertrag mit der Auftragsbestätigung des Auftragnehmers in Textform zustande. Einer gesonderten Unterzeichnung dieses AVV bedarf es nicht. Die Vereinbarung liegt damit in elektronischem Format im Sinne von Artikel 28 Absatz 9 DSGVO vor. Auf Wunsch des Auftraggebers unterzeichnen die Parteien die geltende Fassung zusätzlich ohne inhaltliche Abweichung.

2.2 Der Auftragnehmer hält zu jedem Referenzvertrag fest, welche Fassung dieses AVV und seiner Anlagen bei Vertragsschluss galt, mit Version, Fassung und Prüfsumme. Ebenso hält er jede spätere Fassung nach Ziffer 3.3 und Ziffer 3.4 mit dem Tag ihrer Veröffentlichung und ihres Wirksamwerdens fest. Auf Verlangen stellt er dem Auftraggeber diese Angaben und die für ihn geltende Fassung in Textform bereit.

2.3 Dieser AVV gilt, solange der Auftragnehmer Daten im Auftrag des Auftraggebers verarbeitet, auch über das Ende des Referenzvertrags hinaus. Er endet, wenn der Auftragnehmer alle Daten nach Klausel 10 Buchstabe d BVB AVV gelöscht oder zurückgegeben hat.

2.4 Dieser AVV kann nicht gesondert gekündigt werden, weder ordentlich noch unabhängig vom Referenzvertrag. Die Rechte der Parteien nach Klausel 10 BVB AVV bleiben unberührt.

3. Anlagen, Änderungen, Schlussbestimmungen

3.1 Dieser AVV ersetzt einen zwischen den Parteien bestehenden AVV mit demselben Vertragsgegenstand.

3.2 Die Anlage A1 ("AVV Leistungsbeschreibung"), die BVB AVV (Anlage A), die Liste der Unterauftragsverarbeiter (Anlage A2) und die TOM (Anlage A3) sind diesem AVV beigefügt und integraler Bestandteil dieses Vertrages. Der Auftragnehmer veröffentlicht diesen AVV mit allen Anlagen als ein Dokument mit Version und Fassung unter einer festen Adresse auf seiner Website. Frühere Fassungen bleiben dort abrufbar. Der Auftraggeber kann das Dokument vollständig herunterladen und ablegen, ohne etwas auszufüllen. Die Angaben, die nur ihn betreffen, stehen im Referenzvertrag.

3.3 Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragnehmer darf sie jederzeit ohne Zustimmung des Auftraggebers ändern, wenn das Schutzniveau nach Art. 32 DSGVO dabei nicht unterschritten wird (Art. 28 Abs. 3 Unterabs. 1 Buchst. c DSGVO). Ein Widerspruchsrecht des Auftraggebers besteht insoweit nicht. Eine gesonderte Mitteilung an den Auftraggeber erfolgt nicht. Maßgeblich ist die jeweils unter https://s2f.site/toms veröffentlichte Fassung, über die sich der Auftraggeber jederzeit selbst unterrichten kann. Anlage A3 gibt die bei Veröffentlichung dieses AVV geltende Fassung wieder. Der Auftragnehmer dokumentiert wesentliche Änderungen und stellt dem Auftraggeber frühere Fassungen auf Anfrage zur Verfügung. Änderungen der Liste der Unterauftragsverarbeiter (Anlage A2) richten sich nach Klausel 7.7 der BVB AVV. Der Zeitraum nach Klausel 7.7 Buchstabe a der BVB AVV beträgt vier Wochen. Die Unterrichtung geht in Textform an den Kontakt für Datenschutzfragen, den der Auftraggeber im Referenzvertrag genannt hat.

3.4 Ändert sich der Leistungsumfang des Referenzvertrags oder das Leistungsangebot des Auftragnehmers, passt der Auftragnehmer die AVV Leistungsbeschreibung (Anlage A1) durch eine neue Fassung an und teilt die geänderte Fassung dem Auftraggeber in Textform mit. Sie gilt als vereinbart, wenn der Auftraggeber nicht innerhalb von vier Wochen nach Zugang in Textform widerspricht. Auf diese Folge weist der Auftragnehmer in der Mitteilung hin. Die neue Fassung darf das Schutzniveau nach Art. 32 DSGVO nicht unterschreiten und die Rechte des Auftraggebers als Verantwortlicher nach Art. 28 DSGVO und nach der BVB AVV nicht einschränken.

3.5 Im Übrigen bedürfen Änderungen und Ergänzungen dieses AVV der Textform.

3.6 Sollten einzelne Bestimmungen rechtsunwirksam sein oder werden, berührt dies nicht die Wirksamkeit dieses Vertrages. Die unwirksame Bestimmung ist von den Parteien durch eine wirksame Bestimmung zu ersetzen, die dem mit der unwirksamen Bestimmung verfolgten wirtschaftlichen Zweck am nächsten kommt. Entsprechendes gilt für den Fall, dass die Regelungen dieses AVV eine von den Parteien nicht beabsichtigte Lücke aufweisen.

3.7 Im Übrigen gelten die Bestimmungen des Referenzvertrags, insbesondere zum anwendbaren Recht. Bei Widersprüchen zwischen diesem AVV oder dem Referenzvertrag und der BVB AVV geht die BVB AVV vor (Klausel 4 BVB AVV).

3.8 Ausschließlicher Gerichtsstand für sämtliche Streitigkeiten aus diesem oder über diesen Vertrag ist Traunstein.

Anlage A1: AVV Leistungsbeschreibung

Version 1.0, Stand 09.11.2026. Diese Anlage gilt für jeden Auftraggeber gleich und enthält keine Angaben, die je Auftraggeber auszufüllen sind. Sie beschreibt das Leistungsangebot des Auftragnehmers, soweit es eine Verarbeitung im Auftrag umfassen kann. Für den einzelnen Auftraggeber gelten die Abschnitte zu den Leistungsarten, die der Referenzvertrag nennt.

1. Parteien

Verantwortlicher / Datenexporteur: der Auftraggeber nach dem AVV. Firma und Anschrift ergeben sich aus dem Referenzvertrag. Den Kontakt seines Datenschutzbeauftragten oder einer Kontaktperson für Datenschutzfragen (Name, Position, Telefon, E-Mail) und die für ihn zuständige Aufsichtsbehörde nennt der Auftraggeber im Referenzvertrag. Ändern sich diese Angaben, teilt er das dem Auftragnehmer in Textform mit. Handelt der Auftraggeber nach Ziffer 1.5 des AVV für einen Dritten, nennt er dort auch dessen Firma und Anschrift.

Auftragsverarbeiter / Datenimporteur: Secure 2 Fiber GmbH, Am Brambusch 24, 44536 Lünen. Ansprechstelle für Datenschutzfragen ist datenschutz@s2f.site. Weisungen können an diese Adresse sowie an die im Referenzvertrag genannten Ansprechpartner des Auftragnehmers erteilt werden. Zuständige Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2-4, 40213 Düsseldorf, Telefon 0211 38424-0, E-Mail poststelle@ldi.nrw.de.

2. Leistungen des Auftragsverarbeiters

In Bezug auf den Umgang mit personenbezogenen Daten erbringt der Auftragsverarbeiter gemäß der BVB AVV Leistungen rund um die Produkte der Marke AIM: Support und Fernwartung, Installation und Inbetriebnahme, Unterstützung zur AIM-Plattform sowie Rücknahme, Reparatur und Austausch von Geräten. Soweit hierbei personenbezogene Daten in den betreuten Systemen gespeichert, übertragen oder verarbeitet werden, erfolgt eine Verarbeitung ausschließlich insoweit, wie dies zur Erbringung der vereinbarten Leistungen erforderlich ist. Im Einzelnen gilt je Leistungsart:

Leistungsart	Verarbeitung personenbezogener Daten im Auftrag
Support und Fernwartung: Support nach Supportpaket, Servicekontingent oder Zeitaufwand zu Produkten der Marke AIM, insbesondere zu AIMdefense, AIMSTRONG und der AIM-Plattform, Remote-Support, Konfiguration und sonstige IT-Dienstleistungen nach Zeitaufwand	Zugriff auf die IT-Systeme des Verantwortlichen vor Ort oder per Fernzugriff zur Fehleranalyse, Störungsbehebung, Konfiguration und Aktualisierung. Die Verarbeitung findet in den Systemen des Verantwortlichen statt. Konfigurations-, Protokoll- und Diagnosedateien, die der Verantwortliche zur Fehlersuche übermittelt, werden nur dafür verwendet. Angaben zu Störungen, die der Verantwortliche im Ticketsystem des Auftragsverarbeiters meldet, werden dort gespeichert.
Installation und Inbetriebnahme: Installationsservice vor Ort oder per Fernzugriff	Einrichtung von Hard- und Software in der Umgebung des Verantwortlichen. Dabei Zugriff auf Konfigurationen, Benutzerkonten, Adressen und Zertifikate, soweit die Einrichtung es erfordert. Übernahme bestehender Konfigurationen auf Weisung des Verantwortlichen.
AIM-Plattform auf Basis des Central Operations Dashboard (COD) der extocode GmbH	Bei Self Hosted betreibt der Verantwortliche die Instanz selbst. Bei Shared Hosted und Private Hosted betreibt der Hersteller die Instanz. Dafür schließt der Verantwortliche die Vereinbarung zur Auftragsverarbeitung des Herstellers nach dem COD-Nutzungsvertrag unmittelbar mit dem Hersteller. Diese Anlage erfasst in allen Fällen nur den Zugriff des Auftragsverarbeiters im Support, bei Datenexport, Migrationsunterstützung und Wiederherstellung aus einer Sicherung, soweit der Referenzvertrag diese Leistungen nennt.
Rücknahme, Reparatur, Austausch und Garantieleistungen (RMA), Entsorgung	In der Regel keine Verarbeitung im Auftrag. Der Verantwortliche entfernt oder löscht seine Daten vor der Übergabe eines Geräts, soweit das Gerät dies zulässt. Gelangen dem Auftragsverarbeiter dennoch Daten des Verantwortlichen zur Kenntnis, verarbeitet er sie nur zur Durchführung der Leistung.

Leistungen ohne Auftragsverarbeitung. Keine Verarbeitung im Auftrag findet statt beim Verkauf und bei der Lieferung von Hardware, Zubehör und Software nach den Allgemeinen Geschäftsbedingungen des Auftragnehmers, insbesondere AIMSTRONG, AIMnetworks und AIMcompute. Ebenso wenig bei der Überlassung von Software und Lizenzen einschließlich AIMdefense, bei Software Subscription Contracts und der Bereitstellung von Aktualisierungen. AIMdefense ist Software, die der Verantwortliche oder sein Dienstleister selbst betreibt. Der Auftragsverarbeiter hat dabei keinen Zugriff auf Daten des Verantwortlichen. Für Support zu AIMdefense gilt die Leistungsart Support und Fernwartung. Schulungen der AIM Academy, Newsletter und die Pflege der Geschäftsbeziehung verarbeitet der Auftragsverarbeiter als eigener Verantwortlicher nach seinen Datenschutzhinweisen.

3. Zweck der Datenverarbeitung bzw. der Datenübermittlung und Weiterverarbeitung

Zweck der Verarbeitung ist die Erbringung der im Referenzvertrag beauftragten Leistungen (Support, Fernwartung, Installation, Inbetriebnahme, Rücknahme und Reparatur von Geräten) im Auftrag des Verantwortlichen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Der Auftragsverarbeiter verwendet die aus diesem AVV erlangten Kontaktdaten des Verantwortlichen nicht für Werbung.

4. Kreis der von der Datenverarbeitung betroffenen Personen

Je nach beauftragter Leistungsart und nach den Systemen, die der Verantwortliche betreuen lässt, können betroffen sein:

Arbeitnehmer, Beschäftigte und Beauftragte des Verantwortlichen, insbesondere als Nutzer der betreuten IT-Systeme und Netzwerke mit Benutzerkonten,
Nutzer von Netzwerken, Websites, Apps und IT-Systemen des Verantwortlichen, einschließlich Gäste in Gastnetzen,
Kunden, Mitglieder und sonstige Personen, deren Daten der Verantwortliche in den betreuten Systemen verarbeitet oder deren Datenverkehr durch die betreuten Systeme läuft,
Ansprechpartner des Verantwortlichen und seiner Dienstleister, die Störungen melden oder bei der Leistung mitwirken.

5. Art der Daten / Kategorien der personenbezogenen Daten

Je nach beauftragter Leistungsart und nach den betreuten Systemen:

Daten im Zusammenhang mit der Sicherheit von IT-Systemen und Netzwerken: Zugriffs-, Anmelde-, Verbindungs- und Ereignisprotokolle, Benutzerkonten, Zertifikate, MAC- und IP-Adressen, Zuordnung von Geräten zu Personen,
Konfigurationsdaten der betreuten Systeme, soweit sie personenbezogene Angaben enthalten, etwa Regeln mit Namen oder Adressen, Konten und Gruppen,
Kontaktdaten: Name, Telefon, E-Mail, Position der Ansprechpartner,
Inhalte, die durch die betreuten Systeme übertragen oder in überlassenen Geräten gespeichert sind, nur soweit sie bei der Leistung unvermeidlich zur Kenntnis gelangen.

Besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO verarbeitet der Auftragsverarbeiter nicht gezielt. Betreut er Systeme des Verantwortlichen, in denen solche Daten gespeichert sind oder durch die solche Daten übertragen werden, erfolgt der Zugriff nur, soweit er für die Leistung unerlässlich ist. Der Verantwortliche nennt solche Systeme im Referenzvertrag oder teilt sie dem Auftragsverarbeiter vor dem Zugriff in Textform mit. Die Parteien legen dann die Beschränkungen und zusätzlichen Garantien nach Klausel 7.5 BVB AVV fest. Unterliegt der Verantwortliche einer Schweigepflicht nach § 203 StGB, verpflichtet der Auftragsverarbeiter die eingesetzten Personen nach § 203 Absatz 4 StGB zur Geheimhaltung und weist das auf Verlangen nach.

6. Häufigkeit der Übermittlung, Art und Dauer der Verarbeitung

Bei Support, Fernwartung, Installation und Rücknahme anlassbezogen für die Dauer der jeweiligen Leistung. Art der Verarbeitung: Erfassen, Speicherung, Auslesen, Abfragen, Verwendung, Anpassung, Sicherung, Wiederherstellung sowie Löschen personenbezogener Daten im Rahmen der Erbringung der vereinbarten Leistungen.

Die Daten werden für die Dauer des Vertragsverhältnisses gespeichert, danach unverzüglich gelöscht, soweit keine gesetzlichen Aufbewahrungsfristen (insbesondere steuerrechtliche Fristen gemäß §§ 147 AO, 257 HGB) entgegenstehen. Nach Ablauf der jeweiligen Datenaufbewahrungsfrist wird der Auftragsverarbeiter alle personenbezogenen Daten im Rahmen des normalen Betriebsablaufs löschen, es sei denn, eine Aufbewahrung ist erforderlich, um zwingende rechtliche Verpflichtungen des Auftragsverarbeiters zu erfüllen, insbesondere im Hinblick auf steuerliche Aufbewahrungsfristen. In diesem Fall sind die aufbewahrungspflichtigen Daten so gesondert zu halten, dass eine Verarbeitung nur noch zu diesen besonderen Zwecken möglich ist.

7. Gebiet der Datenverarbeitung

Der Auftragsverarbeiter verarbeitet die Daten in der Europäischen Union oder im Europäischen Wirtschaftsraum. Eine Übermittlung in ein Drittland findet nur nach Kapitel V DSGVO und nach Klausel 7.8 BVB AVV statt und wird in Anlage A2 mit der jeweiligen Garantie ausgewiesen. Soweit eine Verarbeitung tatsächlich in einem Land stattfindet, für das kein Angemessenheitsbeschluss der Europäischen Kommission besteht, vereinbaren die Parteien als vorrangigen Rechtsrahmen die EU-Standardvertragsklauseln in ihrer aktuellen Form.

8. Beteiligte Systeme

Die Daten des Verantwortlichen werden während der Auftragsverarbeitung je nach Leistungsart mit IT-Systemen des Verantwortlichen verarbeitet (Support, Fernwartung, Installation) oder vorübergehend beim Auftragsverarbeiter verarbeitet (Ticketsystem und Kundenportal, E-Mail, überlassene Geräte bei Rücknahme und Reparatur).

9. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter stellt in seinem Verantwortungsbereich eine innerbetriebliche Organisationsstruktur zur Verfügung, die den besonderen Anforderungen des Datenschutzes Rechnung trägt, und sichert zu, alle nach Artikel 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen ("TOMs") vor Beginn der Datenverarbeitung zu treffen und diese für die Dauer der Auftragsverarbeitung beizubehalten. Die TOMs des Auftragsverarbeiters sind in Anlage A3 beschrieben und unter https://s2f.site/toms veröffentlicht. Sie folgen der Struktur der internationalen Norm ISO/IEC 27001:2022 (deutsche Fassung: DIN EN ISO/IEC 27001:2024-01) sowie der zugehörigen Maßnahmenliste der ISO/IEC 27002:2022 (deutsche Fassung: DIN EN ISO/IEC 27002:2024-01).

10. Unterauftragsverarbeiter

Die vom Auftragsverarbeiter eingesetzten Unterauftragsverarbeiter sind in Anlage A2 benannt. Soweit Daten im Geltungsbereich dieser Anlage durch einen Unterauftragsverarbeiter in einem Drittland ohne Angemessenheitsbeschluss verarbeitet werden, sichert der Auftragsverarbeiter zu, dass er mit seinem Unterauftragsverarbeiter aktuell zulässige Standardvertragsklauseln vereinbart oder der Unterauftragsverarbeiter den zwischen den Parteien geltenden Standardvertragsklauseln beitritt.

Anlage A2: Liste der Unterauftragsverarbeiter

Version 1.0, Stand 09.11.2026. Diese Liste ist die vereinbarte Liste nach Klausel 7.7 der BVB AVV. Änderungen richten sich nach Ziffer 3.3 des AVV: Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens vier Wochen vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters in Textform. Eine geänderte Liste veröffentlicht er mit einer neuen Fassung dieses AVV unter https://s2f.site/avv.

Nr.	Firma und Sitz	Leistung	Ort der Verarbeitung	Drittland und Garantie
1	inducio GmbH, Kotzinger Str. 21, 83278 Traunstein, Deutschland	Betrieb und Administration der Server, auf denen Ticketsystem, Kundenportal und Unternehmenssoftware des Auftragsverarbeiters laufen, Betrieb der Mailserver und des Mailfilters für die Domains s2f.site und s2f.support, Datensicherung dieser Systeme. Second-Level-Support zu AIMdefense mit Zugriff auf Systeme des Verantwortlichen nur auf Weisung und im Einzelfall.	Europäische Union (Deutschland, Österreich)	keine Übermittlung in ein Drittland
2	Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland	Microsoft 365 und Exchange Online: Postfächer und E-Mail-Eingang der Domain secure2fiber.com, über die Supportanfragen, Rücksendungen und Mitteilungen des Verantwortlichen eingehen können, sowie Identitätsmanagement	Europäische Union (Mandant der Region Europa zugeordnet)	Übermittlung an Microsoft Corporation, USA, im Einzelfall möglich. Garantie: Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), daneben Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
3	extocode GmbH, Kotzinger Str. 21, 83278 Traunstein, Deutschland	Hersteller des Central Operations Dashboard (COD), Grundlage der AIM-Plattform: Fehleranalyse und Second-Level-Support, wenn der Auftragsverarbeiter den Hersteller im Einzelfall hinzuzieht, mit Fernzugriff auf Instanzen des Verantwortlichen nur auf Weisung	Deutschland	keine Übermittlung in ein Drittland

Nicht in der Liste, mit Grund

Hersteller der Hardware (etwa Lanner und CASwell): Sie erhalten bei Garantie- und Reparaturfällen Geräte. Der Verantwortliche entfernt oder löscht seine Daten vor der Übergabe eines Geräts (Anlage A1 Ziffer 2). Lässt ein Gerät das nicht zu, stimmen die Parteien das Vorgehen vor der Weitergabe an den Hersteller in Textform ab.
Brevo, Google und Cookiebot: Sie dienen nur dem Newsletter und den Websites des Auftragsverarbeiters als eigenem Verantwortlichen. Sie verarbeiten keine Daten des Verantwortlichen aus diesem AVV.
Steuerberatung und DATEV: nur Buchhaltung des Auftragsverarbeiters, keine Daten des Verantwortlichen aus diesem AVV.
Versanddienstleister: reine Transportleistung für Geräte ohne Zugriff auf gespeicherte Daten.
Telekommunikationsanbieter: reine Transportdienste ohne Zugriff auf Inhalte.

Anlage A3: Technische und organisatorische Maßnahmen (TOM)

Version 1.0, Fassung 2026110901, Stand 09.11.2026, nach Artikel 32 DSGVO, Struktur nach ISO/IEC 27001:2022. Diese Anlage gibt die unter https://s2f.site/toms/2026110901 veröffentlichte Fassung wieder. Maßgeblich ist nach Ziffer 3.3 des AVV die unter https://s2f.site/toms jeweils veröffentlichte Fassung.

Dieses Dokument beschreibt die technischen und organisatorischen Maßnahmen (TOMs) der Secure 2 Fiber GmbH nach Artikel 32 DSGVO.

Geltungsbereich. Diese Fassung beschreibt die Maßnahmen für die Systeme, mit denen die Secure 2 Fiber GmbH Anfragen, Meldungen und Unterlagen ihrer Auftraggeber verarbeitet: das Ticketsystem mit Kundenportal und die Unternehmenssoftware (Odoo), die E-Mail-Domains s2f.site und s2f.support sowie die Datensicherung dieser Systeme. Diese Systeme betreibt die inducio GmbH als Unterauftragsverarbeiter. Für ihren Betrieb gelten ergänzend die technischen und organisatorischen Maßnahmen der inducio GmbH in der jeweils unter https://inducio-services.net/toms veröffentlichten Fassung. Wo dieses Dokument darauf verweist, ist das ausdrücklich gesagt. Für die E-Mail-Domain secure2fiber.com nutzt die Secure 2 Fiber GmbH Microsoft 365.

Fortschreibung. Die Maßnahmen werden bei Änderungen der Verarbeitung, der eingesetzten Systeme oder der rechtlichen Anforderungen fortgeschrieben. Jede Fassung erhält eine Nummer nach dem Tag ihrer Veröffentlichung und bleibt unter ihrer Adresse dauerhaft abrufbar.

Die Gliederung folgt Anhang A der ISO/IEC 27001:2022. Die Nummern entsprechen den Maßnahmen der Norm.

Organisatorische Maßnahmen

TOM 5.2 Informationssicherheitsrollen und -verantwortlichkeiten. Die Verantwortung für Datenschutz und Informationssicherheit liegt bei der Geschäftsführung der Secure 2 Fiber GmbH. Anfragen zum Datenschutz gehen an datenschutz@s2f.site und landen in einem eigenen Bereich des Ticketsystems, den nur ausdrücklich berechtigte interne Konten sehen.

TOM 5.3 Aufgabentrennung. Betrieb und Administration der Server und Datenbanken liegen bei der inducio GmbH.

TOM 5.5 Kontakt mit Behörden. Zuständige Aufsichtsbehörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).

TOM 5.14 Informationsübermittlung. Websites, Kundenportal und Ticketsystem sind nur verschlüsselt über HTTPS erreichbar (TLS 1.3, HTTP Strict Transport Security). Unverschlüsselte Aufrufe werden auf HTTPS umgeleitet. Auftraggeber erhalten Unterlagen und Ticketverläufe über das Kundenportal mit persönlicher Anmeldung. Zugriffsschlüssel in Ticketlinks werden aus zitierten E-Mails und Kommentaren entfernt, damit weitergeleitete E-Mails keinen Zugang öffnen.

TOM 5.15 Zugangssteuerung. Portalzugänge erhalten nur Personen, nie ein Firmenkontakt als solcher. Was ein Portalkonto sieht, richtet sich nach seiner Rolle (Technik, Abrechnung, Portaladministrator) und beschränkt sich auf die eigene Firma.

TOM 5.17 Authentisierungsinformationen. Für alle internen Konten im Ticketsystem und in der Unternehmenssoftware ist ein zweiter Faktor (zeitbasierter Einmalcode) verpflichtend. Für Portalkonten ist er freiwillig. Passwörter werden nur als Hash gespeichert.

TOM 5.20 Behandlung von Informationssicherheit in Lieferantenvereinbarungen. Mit der inducio GmbH besteht eine Vereinbarung zur Auftragsverarbeitung nach Artikel 28 DSGVO mit den Standardvertragsklauseln der Europäischen Kommission. Mit Geschäftspartnern schließt die Secure 2 Fiber GmbH Geheimhaltungsvereinbarungen nach den Vorlagen ihres Vertragsregisters. Ihre Allgemeinen Geschäftsbedingungen enthalten eine Geheimhaltungs- und Datenschutzklausel.

TOM 5.21 Umgang mit der Informationssicherheit in der IKT-Lieferkette. Die eingesetzten Unterauftragsverarbeiter sind in Anlage A2 der Vereinbarung zur Auftragsverarbeitung benannt, veröffentlicht unter https://s2f.site/avv.

TOM 5.23 Informationssicherheit für die Nutzung von Cloud-Diensten. Ticketsystem, Kundenportal und Unternehmenssoftware laufen nicht bei einem Anbieter öffentlicher Cloud-Dienste, sondern auf einem Server, den die inducio GmbH in ihrem Netz in Deutschland betreibt. E-Mails an die Domain secure2fiber.com laufen über Microsoft 365. Der Mandant der Secure 2 Fiber GmbH ist der Microsoft-Region Europa zugeordnet.

TOM 5.26 Reaktion auf Informationssicherheitsvorfälle. Verletzungen des Schutzes personenbezogener Daten, für die die Secure 2 Fiber GmbH selbst verantwortlich ist, meldet sie unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen (Art. 33 Abs. 1 DSGVO). Verarbeitet die Secure 2 Fiber GmbH personenbezogene Daten im Auftrag, informiert sie den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung und unterstützt ihn bei seiner Meldung (Art. 33 Abs. 2 DSGVO).

TOM 5.27 Erkenntnisse aus Informationssicherheitsvorfällen. Störungen an Ticketsystem, Kundenportal und Mailweg werden mit Ursache, Änderung und Prüfung schriftlich dokumentiert.

TOM 5.29 Informationssicherheit bei Störungen. Vor jedem Eingriff in Ticketsystem und Unternehmenssoftware werden ein Rückweg festgelegt und der Zustand vorher gesichert.

TOM 5.30 IKT-Bereitschaft für Business-Continuity. Für die Server mit Ticketsystem und Unternehmenssoftware gelten Datensicherung und Wiederanlauf der inducio GmbH (TOM 5.30 und 8.13 der inducio GmbH).

TOM 5.33 Schutz von Aufzeichnungen. Verträge werden in einem Vertragsregister mit Fassung und Prüfsumme festgehalten. Eine freigegebene Fassung wird nicht überschrieben, sondern durch eine neue abgelöst oder mit Grund zurückgezogen.

TOM 5.34 Datenschutz und Schutz personenbezogener Daten. Ansprechstelle für Datenschutzfragen ist datenschutz@s2f.site.

TOM 5.37 Dokumentierte Betriebsabläufe. Änderungen an Ticketsystem und Unternehmenssoftware werden mit Ursache, Änderung, Prüfung und Rückweg dokumentiert.

Physische Maßnahmen

Die Server mit Ticketsystem, Kundenportal, Unternehmenssoftware und Mailservern betreibt die inducio GmbH. Für ihren physischen Schutz gelten die Maßnahmen 7.1 bis 7.14 der inducio GmbH.

Technologische Maßnahmen

TOM 8.2 Privilegierte Zugangsrechte. Administrative Zugänge zu den Servern haben nur Administratoren der inducio GmbH. Erhöhte Rechte werden einzeln angefordert und im Systemprotokoll festgehalten. Die Datenbankverwaltung über die Weboberfläche ist abgeschaltet.

TOM 8.3 Informationszugangsbeschränkung. Portalkonten sehen nur Tickets, Belege und Zeitbuchungen der eigenen Firma und nur im Umfang ihrer Rolle. Eingangsrechnungen und Lieferantenbelege sind für Portalkonten gesperrt, auch über Links mit Zugriffsschlüssel. Anfragen zum Datenschutz liegen in einem Bereich, den nur ausdrücklich berechtigte interne Konten sehen.

TOM 8.4 Zugriff auf den Quellcode. Anpassungen am Ticketsystem und an der Unternehmenssoftware liegen in einer Versionskontrolle.

TOM 8.5 Sichere Authentisierung. Interne Konten melden sich mit zweitem Faktor an (siehe TOM 5.17).

TOM 8.6 Kapazitätssteuerung. Speicher und Auslastung der Server überwacht die inducio GmbH (TOM 8.6 der inducio GmbH).

TOM 8.7 Schutz gegen Schadsoftware. Eingehende E-Mails an die Domains s2f.site und s2f.support laufen über einen Mailfilter gegen Spam und Schadsoftware, E-Mails an secure2fiber.com über den Filter von Microsoft Exchange Online.

TOM 8.8 Handhabung von technischen Schwachstellen. Sicherheitsupdates des Betriebssystems werden auf den Servern automatisch eingespielt. Die Unternehmenssoftware wird auf einem einheitlichen, gepflegten Stand gehalten.

TOM 8.9 Konfigurationsmanagement. Konfiguration und Änderungen der Unternehmenssoftware sind in einer Versionskontrolle dokumentiert. Jede Änderung wird als nachvollziehbares Skript mit Probelauf und Rückweg ausgeführt.

TOM 8.12 Verhinderung von Datenlecks. Zugriffsschlüssel werden vor dem Versand aus Ticketlinks in Kommentaren und zitierten E-Mails entfernt. Portalkonten sehen keine Belege anderer Firmen.

TOM 8.13 Sicherung von Informationen. Die Server mit Ticketsystem und Unternehmenssoftware werden nächtlich gesichert, dazu kommen Momentaufnahmen der Infrastruktur (TOM 8.13 der inducio GmbH). Vor jedem Eingriff wird zusätzlich eine Sicherung der Datenbank angelegt, die nur das Dienstkonto lesen kann.

TOM 8.14 Redundanz von informationsverarbeitenden Einrichtungen. Für die Server gilt TOM 8.14 der inducio GmbH.

TOM 8.15 Protokollierung. Der Server protokolliert Anmeldungen, administrative Eingriffe und den Versand von E-Mails. Im Ticketsystem bleiben Verlauf und Änderungen jedes Tickets nachvollziehbar.

TOM 8.16 Überwachung von Aktivitäten. Berichte über die Zustellung und Fälschung von E-Mails der eigenen Domains (DMARC) werden im Ticketsystem gesammelt.

TOM 8.17 Uhrensynchronisation. Die Systemuhren der Server werden über NTP mit einer vertrauenswürdigen Zeitquelle synchronisiert.

TOM 8.18 Gebrauch von Hilfsprogrammen mit privilegierten Rechten. Werkzeuge mit Administratorrechten auf den Servern stehen nur den Administratoren der inducio GmbH zur Verfügung.

TOM 8.19 Installation von Software auf Systemen in Betrieb. Software auf den Servern wird nur aus den Paketquellen des Betriebssystems und aus versionierten Quellen installiert. Erweiterungen der Unternehmenssoftware werden vor dem Einspielen auf einer Testinstanz geprüft.

TOM 8.20 Netzwerksicherheit. Der Server mit Ticketsystem und Unternehmenssoftware hat nur Adressen in internen Netzen und steht in einem eigenen Netzsegment (DMZ). Aus dem Internet ist die Anwendung nur über einen vorgeschalteten Proxy erreichbar, der unverschlüsselte Aufrufe auf HTTPS umleitet. Die Datenbank nimmt nur Verbindungen vom Server selbst an.

TOM 8.21 Sicherheit von Netzwerkdiensten. Für die Domains s2f.site und s2f.support sind SPF und DMARC mit Ablehnung gefälschter Absender gesetzt, für secure2fiber.com SPF und DMARC mit Quarantäne. Ausgehende E-Mails werden authentisiert über die Mailserver der inducio GmbH oder über Microsoft 365 versandt.

TOM 8.22 Trennung von Netzwerken. Produktivsysteme stehen in einem eigenen Netzsegment. Test- und Staginginstanzen laufen getrennt von der Produktion.

TOM 8.24 Verwendung von Kryptographie. Daten werden zwischen Nutzern und Ticketsystem, Kundenportal und Websites mit TLS 1.3 verschlüsselt übertragen.

TOM 8.29 Sicherheitsprüfung bei Entwicklung und Abnahme. Anpassungen der Unternehmenssoftware werden vor dem Einspielen mit Tests auf einer Testinstanz abgenommen.

TOM 8.30 Ausgegliederte Entwicklung. Anpassungen der Unternehmenssoftware entwickelt die inducio GmbH.

TOM 8.31 Trennung von Entwicklungs-, Test- und Produktionsumgebungen. Entwicklung und Test finden auf getrennten Instanzen statt, nie auf der Produktion.

TOM 8.32 Änderungssteuerung. Änderungen an der Produktion folgen einem festen Ablauf: Analyse, Vorschlag, Freigabe, Probelauf auf einer Testinstanz, Sicherung des Zustands vorher, Einspielen, Nachprüfung auf einem zweiten Weg, Dokumentation mit Rückweg.

TOM 8.34 Schutz der Informationssysteme während Tests im Rahmen von Audits. Prüfungen an Produktivsystemen werden lesend und abgestimmt durchgeführt.

Ansprechstelle für Datenschutzfragen: datenschutz@s2f.site. Zuständige Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW). Liste der Unterauftragsverarbeiter: Anlage A2 der Vereinbarung zur Auftragsverarbeitung unter https://s2f.site/avv.

Anlage A: Besondere Vertragsbestimmungen Auftragsverarbeitung (BVB AVV)

Version 1.1, Stand 10/2026. Standardvertragsklauseln der Europäischen Kommission nach Artikel 28 Absatz 7 DSGVO (Durchführungsbeschluss (EU) 2021/915). Die Klauseln sind unverändert übernommen, Anhang I bis III sind am Ende zugeordnet.

ANHANG des Durchführungsbeschlusses der Kommission über Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern gemäß Artikel 28 Absatz 7 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates und Artikel 29 Absatz 7 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates

ABSCHNITT I

Klausel 1 Zweck und Anwendungsbereich

a) Mit diesen Standardvertragsklauseln (im Folgenden "Klauseln") soll die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG sichergestellt werden.

b) Die in Anhang I aufgeführten Verantwortlichen und Auftragsverarbeiter haben diesen Klauseln zugestimmt, um die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 und/oder Artikel 29 Absätze 3 und 4 der Verordnung (EU) 2018/1725 zu gewährleisten.

c) Diese Klauseln gelten für die Verarbeitung personenbezogener Daten gemäß Anhang II.

d) Die Anhänge I bis IV sind Bestandteil der Klauseln.

e) Diese Klauseln gelten unbeschadet der Verpflichtungen, denen der Verantwortliche gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.

f) Diese Klauseln stellen für sich allein genommen nicht sicher, dass die Verpflichtungen im Zusammenhang mit internationalen Datenübermittlungen gemäß Kapitel V der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 erfüllt werden.

Klausel 2 Unabänderbarkeit der Klauseln

a) Die Parteien verpflichten sich, die Klauseln nicht zu ändern, es sei denn, zur Ergänzung oder Aktualisierung der in den Anhängen angegebenen Informationen.

b) Dies hindert die Parteien nicht daran die in diesen Klauseln festgelegten Standardvertragsklauseln in einen umfangreicheren Vertrag aufzunehmen und weitere Klauseln oder zusätzliche Garantien hinzuzufügen, sofern diese weder unmittelbar noch mittelbar im Widerspruch zu den Klauseln stehen oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneiden.

Klausel 3 Auslegung

a) Werden in diesen Klauseln die in der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 definierten Begriffe verwendet, so haben diese Begriffe dieselbe Bedeutung wie in der betreffenden Verordnung.

b) Diese Klauseln sind im Lichte der Bestimmungen der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 auszulegen.

c) Diese Klauseln dürfen nicht in einer Weise ausgelegt werden, die den in der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten zuwiderläuft oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneidet.

Klausel 4 Vorrang

Im Falle eines Widerspruchs zwischen diesen Klauseln und den Bestimmungen damit zusammenhängender Vereinbarungen, die zwischen den Parteien bestehen oder später eingegangen oder geschlossen werden, haben diese Klauseln Vorrang.

Klausel 5 (fakultativ) Kopplungsklausel

a) Eine Einrichtung, die nicht Partei dieser Klauseln ist, kann diesen Klauseln mit Zustimmung aller Parteien jederzeit als Verantwortlicher oder als Auftragsverarbeiter beitreten, indem sie die Anhänge ausfüllt und Anhang I unterzeichnet.

b) Nach Ausfüllen und Unterzeichnen der unter Buchstabe a genannten Anhänge wird die beitretende Einrichtung als Partei dieser Klauseln behandelt und hat die Rechte und Pflichten eines Verantwortlichen oder eines Auftragsverarbeiters entsprechend ihrer Bezeichnung in Anhang I.

c) Für die beitretende Einrichtung gelten für den Zeitraum vor ihrem Beitritt als Partei keine aus diesen Klauseln resultierenden Rechte oder Pflichten.

ABSCHNITT II: PFLICHTEN DER PARTEIEN

Klausel 6 Beschreibung der Verarbeitung

Die Einzelheiten der Verarbeitungsvorgänge, insbesondere die Kategorien personenbezogener Daten und die Zwecke, für die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden, sind in Anhang II aufgeführt.

Klausel 7 Pflichten der Parteien

7.1 Weisungen

a) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Verantwortliche kann während der gesamten Dauer der Verarbeitung personenbezogener Daten weitere Weisungen erteilen. Diese Weisungen sind stets zu dokumentieren.

b) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass vom Verantwortlichen erteilte Weisungen gegen die Verordnung (EU) 2016/679, die Verordnung (EU) 2018/1725 oder geltende Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstoßen.

7.2 Zweckbindung Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur für den/die in Anhang II genannten spezifischen Zweck(e), sofern er keine weiteren Weisungen des Verantwortlichen erhält.

7.3 Dauer der Verarbeitung personenbezogener Daten Die Daten werden vom Auftragsverarbeiter nur für die in Anhang II angegebene Dauer verarbeitet.

7.4 Sicherheit der Verarbeitung

a) Der Auftragsverarbeiter ergreift mindestens die in Anhang III aufgeführten technischen und organisatorischen Maßnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten. Dies umfasst den Schutz der Daten vor einer Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu den Daten führt (im Folgenden "Verletzung des Schutzes personenbezogener Daten").

Bei der Beurteilung des angemessenen Schutzniveaus tragen die Parteien dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie den für die betroffenen Personen verbundenen Risiken gebührend Rechnung.

b) Der Auftragsverarbeiter gewährt seinem Personal nur insoweit Zugang zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, als dies für die Durchführung, Verwaltung und Überwachung des Vertrags unbedingt erforderlich ist. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der erhaltenen personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7.5 Sensible Daten Falls die Verarbeitung personenbezogene Daten betrifft, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, oder die genetische Daten oder biometrische Daten zum Zweck der eindeutigen Identifizierung einer natürlichen Person, Daten über die Gesundheit, das Sexualleben oder die sexuelle Ausrichtung einer Person oder Daten über strafrechtliche Verurteilungen und Straftaten enthalten (im Folgenden "sensible Daten"), wendet der Auftragsverarbeiter spezielle Beschränkungen und/oder zusätzlichen Garantien an.

7.6 Dokumentation und Einhaltung der Klauseln

a) Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können.

b) Der Auftragsverarbeiter bearbeitet Anfragen des Verantwortlichen bezüglich der Verarbeitung von Daten gemäß diesen Klauseln umgehend und in angemessener Weise.

c) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der in diesen Klauseln festgelegten und unmittelbar aus der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 hervorgehenden Pflichten erforderlich sind. Auf Verlangen des Verantwortlichen gestattet der Auftragsverarbeiter ebenfalls die Prüfung der unter diese Klauseln fallenden Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung und trägt zu einer solchen Prüfung bei.

Bei der Entscheidung über eine Überprüfung oder Prüfung kann der Verantwortliche einschlägige Zertifizierungen des Auftragsverarbeiters berücksichtigen.

d) Der Verantwortliche kann die Prüfung selbst durchführen oder einen unabhängigen Prüfer beauftragen. Die Prüfungen können auch Inspektionen in den Räumlichkeiten oder physischen Einrichtungen des Auftragsverarbeiters umfassen und werden gegebenenfalls mit angemessener Vorankündigung durchgeführt.

e) Die Parteien stellen der/den zuständigen Aufsichtsbehörde(n) die in dieser Klausel genannten Informationen, einschließlich der Ergebnisse von Prüfungen, auf Anfrage zur Verfügung.

7.7 Einsatz von Unterauftragsverarbeitern

a) Der Auftragsverarbeiter besitzt die allgemeine Genehmigung des Verantwortlichen für die Beauftragung von Unterauftragsverarbeitern, die in einer vereinbarten Liste aufgeführt sind. Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens vier Wochen im Voraus ausdrücklich in schriftlicher Form über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern und räumt dem Verantwortlichen damit ausreichend Zeit ein, um vor der Beauftragung des/der betreffenden Unterauftragsverarbeiter/s Einwände gegen diese Änderungen erheben zu können. Der Auftragsverarbeiter stellt dem Verantwortlichen die erforderlichen Informationen zur Verfügung, damit dieser sein Widerspruchsrecht ausüben kann.

b) Beauftragt der Auftragsverarbeiter einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen), so muss diese Beauftragung im Wege eines Vertrags erfolgen, der dem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diejenigen, die für den Auftragsverarbeiter gemäß diesen Klauseln gelten. Der Auftragsverarbeiter stellt sicher, dass der Unterauftragsverarbeiter die Pflichten erfüllt, denen der Auftragsverarbeiter entsprechend diesen Klauseln und gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.

c) Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Verlangen eine Kopie einer solchen Untervergabevereinbarung und etwaiger späterer Änderungen zur Verfügung. Soweit es zum Schutz von Geschäftsgeheimnissen oder anderen vertraulichen Informationen, einschließlich personenbezogener Daten notwendig ist, kann der Auftragsverarbeiter den Wortlaut der Vereinbarung vor der Weitergabe einer Kopie unkenntlich machen.

d) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen in vollem Umfang dafür, dass der Unterauftragsverarbeiter seinen Pflichten gemäß dem mit dem Auftragsverarbeiter geschlossenen Vertrag nachkommt. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen, wenn der Unterauftragsverarbeiter seine vertraglichen Pflichten nicht erfüllt.

e) Der Auftragsverarbeiter vereinbart mit dem Unterauftragsverarbeiter eine Drittbegünstigtenklausel, wonach der Verantwortliche , im Falle, dass der Auftragsverarbeiter faktisch oder rechtlich nicht mehr besteht oder zahlungsunfähig ist , das Recht hat, den Untervergabevertrag zu kündigen und den Unterauftragsverarbeiter anzuweisen, die personenbezogenen Daten zu löschen oder zurückzugeben.

7.8 Internationale Datenübermittlungen

a) Jede Übermittlung von Daten durch den Auftragsverarbeiter an ein Drittland oder eine internationale Organisation erfolgt ausschließlich auf der Grundlage dokumentierter Weisungen des Verantwortlichen oder zur Einhaltung einer speziellen Bestimmung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, und muss mit Kapitel V der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 im Einklang stehen.

b) Der Verantwortliche erklärt sich damit einverstanden, dass in Fällen, in denen der Auftragsverarbeiter einen Unterauftragsverarbeiter gemäß Klausel 7.7 für die Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen) in Anspruch nimmt und diese Verarbeitungstätigkeiten eine Übermittlung personenbezogener Daten im Sinne von Kapitel V der Verordnung (EU) 2016/679 beinhalten, der Auftragsverarbeiter und der Unterauftragsverarbeiter die Einhaltung von Kapitel V der Verordnung (EU) 2016/679 sicherstellen können, indem sie Standardvertragsklauseln verwenden, die von der Kommission gemäß Artikel 46 Absatz 2 der Verordnung (EU) 2016/679 erlassen wurden, sofern die Voraussetzungen für die Anwendung dieser Standardvertragsklauseln erfüllt sind.

Klausel 8 Unterstützung des Verantwortlichen

a) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über jeden Antrag, den er von der betroffenen Person erhalten hat. Er beantwortet den Antrag nicht selbst, es sei denn, er wurde vom Verantwortlichen dazu ermächtigt.

b) Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Erfüllung von dessen Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte zu beantworten. Bei der Erfüllung seiner Pflichten gemäß den Buchstaben a und b befolgt der Auftragsverarbeiter die Weisungen des Verantwortlichen.

c) Abgesehen von der Pflicht des Auftragsverarbeiters, den Verantwortlichen gemäß Klausel 8 Buchstabe b zu unterstützen, unterstützt der Auftragsverarbeiter unter Berücksichtigung der Art der Datenverarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen zudem bei der Einhaltung der folgenden Pflichten:

1) Pflicht zur Durchführung einer Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten (im Folgenden "Datenschutz-Folgenabschätzung"), wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat; 2) Pflicht zur Konsultation der zuständigen Aufsichtsbehörde(n) vor der Verarbeitung, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft; 3) Pflicht zur Gewährleistung, dass die personenbezogenen Daten sachlich richtig und auf dem neuesten Stand sind, indem der Auftragsverarbeiter den Verantwortlichen unverzüglich unterrichtet, wenn er feststellt, dass die von ihm verarbeiteten personenbezogenen Daten unrichtig oder veraltet sind; 4) Verpflichtungen gemäß Artikel 32 der Verordnung (EU) 2016/679.

d) Die Parteien legen in Anhang III die geeigneten technischen und organisatorischen Maßnahmen zur Unterstützung des Verantwortlichen durch den Auftragsverarbeiter bei der Anwendung dieser Klausel sowie den Anwendungsbereich und den Umfang der erforderlichen Unterstützung fest.

Klausel 9 Meldung von Verletzungen des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten arbeitet der Auftragsverarbeiter mit dem Verantwortlichen zusammen und unterstützt ihn entsprechend, damit der Verantwortliche seinen Verpflichtungen gemäß den Artikeln 33 und 34 der Verordnung (EU) 2016/679 oder gegebenenfalls den Artikeln 34 und 35 der Verordnung (EU) 2018/1725 nachkommen kann, wobei der Auftragsverarbeiter die Art der Verarbeitung und die ihm zur Verfügung stehenden Informationen berücksichtigt.

9.1 Verletzung des Schutzes der vom Verantwortlichen verarbeiteten Daten Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Verantwortlichen verarbeiteten Daten unterstützt der Auftragsverarbeiter den Verantwortlichen wie folgt:

a) bei der unverzüglichen Meldung der Verletzung des Schutzes personenbezogener Daten an die zuständige(n) Aufsichtsbehörde(n), nachdem dem Verantwortlichen die Verletzung bekannt wurde, sofern relevant (es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen);

b) bei der Einholung der folgenden Informationen, die gemäß Artikel 33 Absatz 3 der Verordnung (EU) 2016/679 in der Meldung des Verantwortlichen anzugeben sind, wobei diese Informationen mindestens Folgendes umfassen müssen: 1) die Art der personenbezogenen Daten, soweit möglich, mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze; 2) die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten; 3) die vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Wenn und soweit nicht alle diese Informationen zur gleichen Zeit bereitgestellt werden können, enthält die ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden, sobald sie verfügbar sind, anschließend ohne unangemessene Verzögerung bereitgestellt;

c) bei der Einhaltung der Pflicht gemäß Artikel 34 der Verordnung (EU) 2016/679, die betroffene Person unverzüglich von der Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, wenn diese Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

9.2 Verletzung des Schutzes der vom Auftragsverarbeiter verarbeiteten Daten Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Auftragsverarbeiter verarbeiteten Daten meldet der Auftragsverarbeiter diese dem Verantwortlichen unverzüglich, nachdem ihm die Verletzung bekannt wurde. Diese Meldung muss zumindest folgende Informationen enthalten:

a) eine Beschreibung der Art der Verletzung (möglichst unter Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und der ungefähren Zahl der betroffenen Datensätze);

b) Kontaktdaten einer Anlaufstelle, bei der weitere Informationen über die Verletzung des Schutzes personenbezogener Daten eingeholt werden können;

c) die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Die Parteien legen in Anhang III alle sonstigen Angaben fest, die der Auftragsverarbeiter zur Verfügung zu stellen hat, um den Verantwortlichen bei der Erfüllung von dessen Pflichten gemäß Artikel 33 und 34 der Verordnung (EU) 2016/679 zu unterstützen.

ABSCHNITT III: SCHLUSSBESTIMMUNGEN

Klausel 10 Verstöße gegen die Klauseln und Beendigung des Vertrags

a) Falls der Auftragsverarbeiter seinen Pflichten gemäß diesen Klauseln nicht nachkommt, kann der Verantwortliche , unbeschadet der Bestimmungen der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 , den Auftragsverarbeiter anweisen, die Verarbeitung personenbezogener Daten auszusetzen, bis er diese Klauseln einhält oder der Vertrag beendet ist. Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn er aus welchen Gründen auch immer nicht in der Lage ist, diese Klauseln einzuhalten.

b) Der Verantwortliche ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn 1) der Verantwortliche die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter gemäß Buchstabe a ausgesetzt hat und die Einhaltung dieser Klauseln nicht innerhalb einer angemessenen Frist, in jedem Fall aber innerhalb eines Monats nach der Aussetzung, wiederhergestellt wurde; 2) der Auftragsverarbeiter in erheblichem Umfang oder fortdauernd gegen diese Klauseln verstößt oder seine Verpflichtungen gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 nicht erfüllt; 3) der Auftragsverarbeiter einer bindenden Entscheidung eines zuständigen Gerichts oder der zuständigen Aufsichtsbehörde(n), die seine Pflichten gemäß diesen Klauseln, der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 zum Gegenstand hat, nicht nachkommt.

c) Der Auftragsverarbeiter ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn der Verantwortliche auf der Erfüllung seiner Anweisungen besteht, nachdem er vom Auftragsverarbeiter darüber in Kenntnis gesetzt wurde, dass seine Anweisungen gegen geltende rechtliche Anforderungen gemäß Klausel 7.1 Buchstabe b verstoßen.

d) Nach Beendigung des Vertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten und bescheinigt dem Verantwortlichen, dass dies erfolgt ist, oder er gibt alle personenbezogenen Daten an den Verantwortlichen zurück und löscht bestehende Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Bis zur Löschung oder Rückgabe der Daten gewährleistet der Auftragsverarbeiter weiterhin die Einhaltung dieser Klauseln.

ANHANG I: LISTE DER PARTEIEN und ANHANG II: BESCHREIBUNG DER VERARBEITUNG

Siehe Anlage A1 (AVV Leistungsbeschreibung) dieses AVV.

ANHANG III: TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN, EINSCHLIESSLICH ZUR GEWÄHRLEISTUNG DER SICHERHEIT DER DATEN

Siehe Anlage A3 (TOM) dieses AVV. Die technischen und organisatorischen Maßnahmen des Auftragsverarbeiters sind in der jeweils geltenden Fassung auf seiner Website veröffentlicht, siehe Ziffer 3.3 des AVV.