Auftragsverarbeitungsvertrag (Art. 28 DSGVO).

Die Parteien

SANFYTECH, vereinfachte Aktiengesellschaft französischen Rechts (société par actions simplifiée, SAS) mit einem Grundkapital von 5.000,00 Euro und Sitz in 173 rue de Courcelles, 75017 Paris, eingetragen im Handels- und Gesellschaftsregister (registre du commerce et des sociétés, RCS) Paris unter der Nummer 107 365 249 (SIRET 107 365 249 00013, USt-IdNr. FR81107365249), vertreten durch Cédric SANTIAGO in seiner Eigenschaft als Präsident (Président), hierzu ordnungsgemäß bevollmächtigt, nachfolgend „SANFYTECH“, der „Dienstleister“ oder der „Auftragsverarbeiter“,

einerseits,

und die juristische oder natürliche Person, die diesen AVV nach Maßgabe von Ziffer 4.1 angenommen hat, nachfolgend der „Kunde“ oder der „Verantwortliche“, deren Identität, Vertreter und Kontaktdaten sich aus dem Hauptvertrag ergeben,

andererseits,

nachfolgend einzeln eine „Partei“ und gemeinsam die „Parteien“.

Präambel

„Hauptvertrag“ bezeichnet das Angebot, die Bestellung, den Rahmenvertrag oder den gesonderten Vertrag, der zwischen den Parteien geschlossen wurde und diesen AVV durch Verweisung einbezieht.

Seine Durchführung führt dazu, dass der Dienstleister im Auftrag des Kunden personenbezogene Daten verarbeitet, deren Zwecke und Mittel der Kunde festlegt. Artikel 28 Absatz 3 der Verordnung (EU) 2016/679 vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr verlangt, dass dieses Verhältnis durch einen schriftlichen Rechtsakt geregelt wird, der den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet.

Dieser Vertrag, nachfolgend der „AVV“ (Auftragsverarbeitungsvertrag), erfüllt diese Anforderung. Artikel 28 Absatz 3 verlangt einen schriftlichen und verbindlichen Rechtsakt; er schreibt weder dessen Form noch eine gesonderte Unterzeichnung noch eine physische Übergabe vor. Der AVV wird daher veröffentlicht, versioniert und durch Verweisung in den Hauptvertrag einbezogen, dessen untrennbaren Bestandteil er bildet, und er geht diesem in allen Fragen der Verarbeitung personenbezogener Daten vor.

Der Kunde erklärt, zu Zwecken zu handeln, die seiner beruflichen oder gewerblichen Tätigkeit zuzurechnen sind. Er erkennt an, dass ihm vor Vertragsschluss Gelegenheit gegeben wurde, von der im Hauptvertrag bestimmten Fassung dieses AVV Kenntnis zu nehmen, einschließlich der Beschreibung der technischen und organisatorischen Maßnahmen in Anhang 2 und der Erklärung zu den Grenzen in Ziffer A2.20 sowie der Liste der Unterauftragsverarbeiter in Anhang 3. Diese Anerkennung schränkt die vorvertragliche Informationspflicht nach Artikel 1112-1 des Code civil (französisches Zivilgesetzbuch) weder ein noch schließt sie sie aus.

Der Verantwortliche erkennt an, dass die Beschreibungen in den Anhängen dieses AVV, insbesondere die Erklärung zu den Grenzen in Ziffer A2.20, den tatsächlichen Stand der Vorkehrungen des Auftragsverarbeiters zum Datum der betreffenden Fassung wiedergeben und jeder werblichen Darstellung, jeder Broschüre, jeder Seite der Website des Dienstleisters und jedem vorvertraglichen Austausch vorgehen, die keine vertragliche Wirkung haben. Der Auftragsverarbeiter übernimmt im Rahmen dieses AVV keine bezifferte Verfügbarkeitszusage, keine ständige Rufbereitschaft, keine dauerhafte menschliche Überwachung und keine ausschließlich in Frankreich liegende Speicherung der Daten, da sich die primäre Backup-Kopie nach Maßgabe von Ziffer A1.2 in Deutschland befindet.

Dies vorausgeschickt, vereinbaren die Parteien Folgendes.

Artikel 1. Begriffsbestimmungen

Die nachstehenden, mit großem Anfangsbuchstaben verwendeten Begriffe haben in diesem AVV im Singular wie im Plural die folgende Bedeutung. In Artikel 4 DSGVO bestimmte und nachstehend nicht aufgeführte Begriffe behalten die Bedeutung, die ihnen dieser Rechtstext gibt.

1.1 „DSGVO“: die Verordnung (EU) 2016/679 vom 27. April 2016 (Datenschutz-Grundverordnung).

1.1 bis „Anwendbare Vorschriften“: die DSGVO, das französische Gesetz Nr. 78-17 vom 6. Januar 1978 über die Informatik, die Dateien und die Freiheiten (loi relative à l’informatique, aux fichiers et aux libertés), die zu ihrer Durchführung erlassenen Rechtsvorschriften sowie die Leitlinien, Empfehlungen und Beschlüsse der Aufsichtsbehörde.

1.2 „Daten“: die personenbezogenen Daten, die der Auftragsverarbeiter im Rahmen des Hauptvertrags im Auftrag des Verantwortlichen verarbeitet, wie in Anhang 1 beschrieben, mit Ausnahme derjenigen, die der Auftragsverarbeiter für eigene Zwecke verarbeitet.

1.3 „Verarbeitung“: die in Anhang 1 beschriebenen Vorgänge, die der Auftragsverarbeiter im Auftrag des Verantwortlichen ausführt.

1.4 „Betroffene Personen“: die natürlichen Personen, auf die sich die Daten beziehen, gemäß den Kategorien in Anhang 1.

1.5 „Dokumentierte Weisungen“: die Weisungen des Verantwortlichen in Bezug auf die Verarbeitung, die sich aus dem Hauptvertrag, diesem AVV und seinen Anhängen ergeben, sowie jede ergänzende Weisung, die in der Form des Artikels 6 erteilt wird.

1.6 „Unterauftragsverarbeiter“: jeder Dritte, den der Auftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten im Auftrag des Verantwortlichen im Sinne von Artikel 28 Absatz 2 und Absatz 4 DSGVO betraut. Die zum Datum dieser Fassung genehmigten Unterauftragsverarbeiter sind in Anhang 3 aufgeführt.

1.7 „Datenschutzverletzung“: eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden, im Sinne von Artikel 4 Nummer 12 DSGVO.

1.8 „Sicherheitsmaßnahmen“: die technischen und organisatorischen Maßnahmen, die der Auftragsverarbeiter nach Artikel 32 DSGVO umsetzt und die in Anhang 2 beschrieben sind.

1.9 „Aufsichtsbehörde“: die Commission nationale de l’informatique et des libertés (CNIL, die französische Datenschutzbehörde) oder jede andere zuständige Behörde im Sinne von Artikel 51 DSGVO.

1.10 „AGB“: die Allgemeinen Geschäftsbedingungen (conditions générales de vente) des Dienstleisters in der im Hauptvertrag bezeichneten Fassung und mit dem dort bezeichneten Datum, veröffentlicht unter der Adresse https://www.sanfytech.com/legal/cgv. Sie sind diesem AVV nicht beigefügt und bilden keinen der drei in Ziffer 3.1 genannten Anhänge. Zwischen den Parteien verbindlich ist die Fassung, die der Hauptvertrag durch ihren Titel, ihre Versionsnummer und ihr Datum bezeichnet, unter Ausschluss jeder anderen, einschließlich jeder später unter derselben Adresse veröffentlichten Fassung. Der Dienstleister bewahrt ein unveränderliches Exemplar davon auf und übergibt es dem Kunden auf einfache Anfrage auf Papier oder auf einem dauerhaften Datenträger. Jede Verweisung dieses AVV auf eine Bestimmung der AGB bezieht sich auf diese Fassung.

1.11 „Standardvertragsklauseln“: die durch den Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 angenommenen Klauseln in dem für das jeweilige Verhältnis anwendbaren Modul.

1.12 „Arbeitstag“: jeder Tag außer Samstag, Sonntag und gesetzlichen Feiertagen in Frankreich.

Artikel 2. Gegenstand und Rolle der Parteien

2.1 Gegenstand. Der AVV legt die Bedingungen fest, unter denen der Auftragsverarbeiter im Auftrag des Verantwortlichen die in Artikel 5 beschriebenen Vorgänge ausführt, sowie die jeweiligen Pflichten der Parteien nach der DSGVO. Er ändert weder den Gegenstand noch den Umfang noch den Preis der im Hauptvertrag vereinbarten Leistungen und begründet keine Verarbeitungspflicht über das hinaus, was dieser vorsieht.

2.2 Rolle der Parteien. Der Kunde handelt als Verantwortlicher im Sinne von Artikel 4 Nummer 7 DSGVO und SANFYTECH als Auftragsverarbeiter im Sinne von Artikel 4 Nummer 8. Der Kunde bleibt allein zuständig für die Festlegung der Zwecke und Mittel der Verarbeitungen, der Kategorien erhobener Daten, der fachlichen Speicherfristen, der Empfänger, der Information der betroffenen Personen und der Antworten auf deren Anträge zur Ausübung ihrer Rechte.

2.3 Zugriffsumfang. Der Auftragsverarbeiter legt weder die von den Formularen, Anwendungen und Schnittstellen des Kunden erhobenen Felder noch die Empfänger der Daten noch die fachlichen Speicherfristen fest. Er greift auf Anwendungsinhalte nur in dem Umfang zu, der für einen Betriebsvorgang, die Behebung eines Vorfalls oder die Ausführung einer dokumentierten Weisung unbedingt erforderlich ist; dieser Zugriff wird nach Maßgabe und unter den Vorbehalten des Anhangs 2 nachvollziehbar protokolliert.

2.4 Eigene Verarbeitungen des Auftragsverarbeiters. Abweichend von Ziffer 2.3 handelt der Auftragsverarbeiter als Verantwortlicher für die technische Protokollierung und die Sicherheitsprotokollierung seiner eigenen Basisinfrastruktur, auf der Grundlage seines berechtigten Interesses an der Gewährleistung der Netz- und Informationssicherheit im Sinne von Erwägungsgrund 49 DSGVO und der Pflicht nach Artikel 32, sowie für die Verwaltung seiner Geschäftsbeziehung, seiner Rechnungsstellung und seiner Buchhaltung, worüber er in seiner unter der Adresse https://www.sanfytech.com/legal/confidentialite veröffentlichten Datenschutzerklärung Rechenschaft ablegt. Die auf den im Auftrag des Verantwortlichen betriebenen Systemen in Erfüllung von Artikel 32 DSGVO erzeugten Protokolle werden weiterhin in der Eigenschaft als Auftragsverarbeiter verarbeitet, nach Maßgabe von Ziffer A2.9 des Anhangs 2. Sieht der Hauptvertrag dies vor, setzt der Auftragsverarbeiter auf den Diensten des Verantwortlichen eine selbst gehostete Reichweitenmessung ein, die er als Auftragsverarbeiter, auf dokumentierte Weisung und ausschließlich im Auftrag des Verantwortlichen betreibt; dieser bleibt Herr über den Zweck, die Aktivierung der Messung und ihre Konfiguration. Die erzeugten Statistiken gehören allein ihm, werden weder mit den Daten einer anderen Website noch mit einer anderen Verarbeitung abgeglichen, werden an keinen Dritten übermittelt und sind ausschließlich ihm zugänglich, unter Ausschluss jedes anderen Herausgebers; die Trennung nach Websites ist technisch umgesetzt. Der Auftragsverarbeiter stellt ihm eine Konfiguration zur Verfügung, welche die Bedingungen der für die Reichweitenmessung anerkannten Befreiung von der Einwilligung erfüllt, teilt ihm deren Einzelheiten schriftlich mit und dokumentiert sie; jeder davon abweichende Konfigurationswunsch wird als dokumentierte Weisung behandelt und festgehalten. Diese Messung kommt ohne Cookies und ohne jeden Zugriff auf in der Endeinrichtung des Nutzers gespeicherte Informationen aus; sie kürzt die Verbindungsadresse, beachtet das Widerspruchssignal des Browsers und löscht die Rohprotokolle nach dreizehn (13) Monaten. Es obliegt dem Verantwortlichen, im Hinblick auf Artikel 82 des Gesetzes Nr. 78-17 vom 6. Januar 1978 und die Leitlinien der Aufsichtsbehörde zu beurteilen, ob die gewählte Konfiguration unter die Befreiung von der Einwilligung fällt, und dies in seiner eigenen Datenschutzerklärung anzugeben. Sollte der Auftragsverarbeiter die Zwecke und Mittel einer ihm übertragenen Verarbeitung bestimmen, gilt er gemäß Artikel 28 Absatz 10 DSGVO in Bezug auf diese Verarbeitung als Verantwortlicher.

2.5 Kontaktstelle. SANFYTECH ist nicht verpflichtet, einen Datenschutzbeauftragten im Sinne von Artikel 37 DSGVO zu benennen, da die Voraussetzungen dieser Vorschrift zum Datum dieser Fassung nicht erfüllt sind. Sie benennt eine zentrale Kontaktstelle für den Datenschutz, erreichbar unter der Adresse rgpd@sanfytech.com, die für Anfragen zum Datenschutz bestimmt ist, an Arbeitstagen abgerufen wird und für alle Anfragen im Rahmen dieses AVV zuständig ist.

Artikel 3. Vertragsdokumente und Rangfolge

3.1 Der AVV besteht aus diesem Haupttext und seinen drei Anhängen, die seinen festen Bestandteil bilden und mit ihm veröffentlicht werden: Anhang 1, Speicherort der Daten, dokumentierte Weisungen und Kontaktstellen; Anhang 2, technische und organisatorische Sicherheitsmaßnahmen; Anhang 3, Liste der genehmigten Unterauftragsverarbeiter. Die Angaben nach Artikel 28 Absatz 3 DSGVO sind in Artikel 5 festgelegt.

3.2 Bei Widersprüchen zwischen den die Parteien bindenden Dokumenten gilt folgende absteigende Rangfolge: dieser AVV für alle Fragen in Bezug auf personenbezogene Daten; der Hauptvertrag und seine Anhänge; das angenommene Angebot oder die angenommene Bestellung; die AGB. Der Kunde erkennt an, von den AGB in ihrer zum Zeitpunkt der Unterzeichnung des Hauptvertrags geltenden Fassung Kenntnis genommen zu haben.

3.3 Bei Widersprüchen zwischen dem Haupttext des AVV und einem seiner Anhänge geht der Haupttext vor, außer für die technische Beschreibung der Sicherheitsmaßnahmen und für die Liste der Unterauftragsverarbeiter, für die die Anhänge 2 und 3 maßgeblich sind. Das Dokument „Anhang. Technische und organisatorische Sicherheitsmaßnahmen“ gibt den Text des Anhangs 2 unverändert wieder, wenn es dem Hauptvertrag beigefügt ist; es kann dessen Tragweite weder einschränken noch erweitern.

3.4 Die Bestimmungen des Hauptvertrags und der AGB zu Vertraulichkeit, Haftung, höherer Gewalt, Mitteilungen und elektronischem Nachweis gelten für diesen AVV, vorbehaltlich der darin vorgesehenen Anpassungen. Die Berufung auf höhere Gewalt befreit den Auftragsverarbeiter jedoch weder von der in Artikel 14 vorgesehenen Meldung noch von der Umsetzung der Sicherheitsmaßnahmen, soweit das Ereignis dies zulässt, noch von der in Artikel 17 vorgesehenen Rückgabe oder Vernichtung der Daten. Gemäß Artikel 28 Absatz 4 DSGVO befreit das Versagen eines Unterauftragsverarbeiters den Auftragsverarbeiter nicht von seiner Haftung gegenüber dem Verantwortlichen, unabhängig von den Bestimmungen des Hauptvertrags oder der AGB zur höheren Gewalt. Die gegebenenfalls durch die AGB verkürzte Frist zur Geltendmachung von Ansprüchen gilt nicht für Ansprüche aus diesem AVV, für die Ziffer 19.7 maßgeblich ist.

Artikel 4. Laufzeit, Inkrafttreten und Überprüfung

4.1 Annahme und Inkrafttreten. Der AVV wird durch die Unterzeichnung des Hauptvertrags angenommen, der ihn durch Verweisung einbezieht; diese Unterzeichnung bewirkt die vorbehaltlose Zustimmung zu der darin bestimmten Fassung. Er tritt zum Wirksamkeitsdatum des Hauptvertrags in Kraft und bleibt während dessen gesamter Laufzeit wirksam, danach so lange, wie der Auftragsverarbeiter Daten im Auftrag des Verantwortlichen aufbewahrt. Eine gesonderte Unterzeichnung ist nicht erforderlich; der Verantwortliche kann jedoch, wenn er dies wünscht, beim Auftragsverarbeiter ein paraphiertes Exemplar der geltenden Fassung anfordern, das ihm kostenlos ausgehändigt wird.

4.1 bis Verbindliche Fassung. Für die Parteien verbindlich ist die Fassung, die der Hauptvertrag durch ihre Nummer und ihr Datum bestimmt; fehlt eine solche Bestimmung, die Fassung, die zum Zeitpunkt der Unterzeichnung des Hauptvertrags unter der Adresse https://www.sanfytech.com/legal/dpa veröffentlicht war. Die Veröffentlichung einer späteren Fassung ist für laufende Hauptverträge ohne Wirkung: Sie gilt nur für danach eingegangene Verpflichtungen oder nach schriftlicher Zustimmung des Verantwortlichen. Der Auftragsverarbeiter bewahrt von jeder veröffentlichten Fassung ein unveränderliches Exemplar auf und stellt auf einfache Anfrage eine Kopie zur Verfügung.

4.2 Die Beendigung des Hauptvertrags, gleich aus welchem Grund, bewirkt die Beendigung des AVV, vorbehaltlich des Fortbestands der Bestimmungen über die Vertraulichkeit, den Verbleib der Daten, die Dokumentation, die Audits und die Haftung, die bis zu ihrer vollständigen Erfüllung anwendbar bleiben.

4.3 Der AVV wird mindestens einmal jährlich überprüft sowie bei jeder grundlegenden Änderung der Architektur, eines Anbieters, des Risikoniveaus, des Umfangs der Verarbeitung oder des rechtlichen Rahmens. Jede Änderung des Haupttexts des AVV führt zur Veröffentlichung einer neuen Fassung mit eigener Nummer und eigenem Datum. Gemäß Ziffer 4.1 bis entfaltet diese Veröffentlichung für sich genommen keine Wirkung auf einen laufenden Hauptvertrag: Die neue Fassung wird darauf nur durch schriftlichen Nachtrag oder durch schriftliche Zustimmung des Verantwortlichen anwendbar.

4.4 Abweichend davon folgt die Aktualisierung von Anhang 3 dem Verfahren der vorherigen Information nach Artikel 10 und erfordert keinen Nachtrag, sofern innerhalb der vorgesehenen Frist kein Einspruch erhoben wird. Eine Aktualisierung von Anhang 2, die sich aus der Verstärkung einer Sicherheitsmaßnahme ergibt, wird ohne Weiteres wirksam; der Auftragsverarbeiter berichtet darüber bei der jährlichen Überprüfung.

4.5 Verarbeitungen vor dem Inkrafttreten. Dieser AVV regelt die Verarbeitungen ab seinem Wirksamkeitsdatum, einschließlich der zuvor begonnenen, die ihm für die Zukunft unterliegen. Er hebt ab diesem Datum jeden Anhang, jede Notiz und jedes Compliance-Dokument auf und ersetzt sie, die der Auftragsverarbeiter dem Verantwortlichen zuvor übergeben hat und die die Kette der Unterauftragsverarbeitung beschreiben: Zwischen den Parteien verbindlich ist ausschließlich diejenige in Anhang 3. Diese Unwirksamkeit betrifft allein den beschreibenden Wert dieser Dokumente; sie bewirkt weder deren Vernichtung, die der Auftragsverarbeiter unterlässt, noch einen Verzicht des Verantwortlichen auf die Rechte, die ihm aus dem vorangegangenen Zeitraum zustehen, und bleibt ohne Wirkung auf die vom Verantwortlichen selbst erstellten Dokumente. Dieser AVV erlegt dem Auftragsverarbeiter keine Pflicht für einen Zeitraum vor seiner Eintragung am 15. Juli 2026 auf.

Artikel 5. Beschreibung der Verarbeitung

5.1 Dauerhafte Beschreibung. Die Leistungen des Auftragsverarbeiters betreffen einen gleichbleibenden Umfang: Entwicklung von Individualsoftware, Beratung, Integration von KI-Systemen, Hosting, Managed Services und Aufrechterhaltung des Betriebs. Die Angaben, die Artikel 28 Absatz 3 DSGVO zu bestimmen verlangt, werden daher ein für alle Mal wie folgt festgelegt und gelten für jeden Hauptvertrag, der diesen AVV einbezieht:

5.2 Besonderheiten des Auftrags. Der Hauptvertrag kann eine Zeile der Tabelle in Ziffer 5.1 für den von ihm geregelten Auftrag ergänzen oder ausschließen, insbesondere wenn die Verarbeitung besondere Kategorien von Daten, Daten von Bürgern oder Nutzern einer öffentlichen Einrichtung oder Gesundheitsdaten betrifft oder wenn eine besondere fachliche Speicherfrist vereinbart ist. Seine Angaben gehen dann der dauerhaften Beschreibung vor, allein für diesen Auftrag. Enthält er keine Angabe, gilt die dauerhafte Beschreibung vollständig.

5.3 Richtigkeit. Der Verantwortliche, der allein über die Zwecke und Mittel entscheidet, gewährleistet die Richtigkeit der Beschreibung im Hinblick auf die Verarbeitung, die er überträgt. Er informiert den Auftragsverarbeiter ohne unangemessene Verzögerung über jede sie betreffende Änderung, insbesondere über die Einführung einer neuen Kategorie von Daten oder betroffenen Personen, namentlich einer besonderen Kategorie im Sinne der Artikel 9 und 10 DSGVO. Der Auftragsverarbeiter kann sich nicht auf die dauerhafte Beschreibung berufen, um die Berücksichtigung einer solchen Information zu verweigern.

5.4 Fristen. Der Auftragsverarbeiter verarbeitet die Daten nur für die zur Durchführung des Hauptvertrags erforderliche Dauer und nach den vom Verantwortlichen festgelegten fachlichen Speicherfristen. Die technischen Fristen der Betriebsumgebung des Auftragsverarbeiters, insbesondere die der Protokolle und der Backup-Sätze, sind in Anhang 2 beschrieben; sie gelten nicht als Speicherfrist für die fachlichen Daten.

5.5 Speicherort. Der Speicherort der Daten ist in Ziffer A1.2 des Anhangs 1 beschrieben.

Artikel 6. Dokumentierte Weisungen

6.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung an ein Drittland oder eine internationale Organisation, sofern er nicht durch das Recht der Union oder das französische Recht, dem er unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

6.2 Der Hauptvertrag, dieser AVV und seine Anhänge bilden die ursprünglichen dokumentierten Weisungen des Verantwortlichen.

6.3 Jede ergänzende Weisung ist schriftlich an die Kontaktstelle des Auftragsverarbeiters zu richten; eine E-Mail an die Adresse rgpd@sanfytech.com gilt als schriftlich. Sie gibt ihren Gegenstand, die betroffene Verarbeitung und das gewünschte Wirksamkeitsdatum an. Der Auftragsverarbeiter bestätigt ihren Eingang innerhalb von fünf (5) Arbeitstagen und teilt innerhalb derselben Frist mit, ob ihre Ausführung im Rahmen des Hauptvertrags technisch möglich ist und ob sie zusätzliche Arbeiten oder Kosten verursacht. Eine Weisung, die über den Umfang des Hauptvertrags hinausgeht, setzt ein vorheriges Angebot voraus.

6.4 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Auffassung nach gegen die anwendbaren Vorschriften oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. Er kann die Ausführung der strittigen Weisung aussetzen, bis sie schriftlich bestätigt, geändert oder zurückgenommen wird, ohne dass diese Aussetzung seine Haftung begründet.

6.5 Der Auftragsverarbeiter bewahrt einen schriftlichen Nachweis der erhaltenen und ausgeführten dokumentierten Weisungen für die Laufzeit des AVV zuzüglich fünf (5) Jahre auf und stellt ihn auf Anfrage zur Verfügung.

Artikel 7. Pflichten des Auftragsverarbeiters nach Artikel 28 Absatz 3

Der Auftragsverarbeiter übernimmt die Pflichten nach Artikel 28 Absatz 3 DSGVO, deren Durchführungsbedingungen wie folgt festgelegt sind: dokumentierte Weisungen, Artikel 6; Vertraulichkeit der befugten Personen, Artikel 8; Sicherheit der Verarbeitung, Artikel 9 und Anhang 2; Unterauftragsverarbeitung, Artikel 10; Unterstützung bei der Ausübung der Rechte der betroffenen Personen, Artikel 12; Unterstützung bei Sicherheit, Datenschutzverletzungen und Datenschutz-Folgenabschätzung, Artikel 13 und 14; Verbleib der Daten nach Abschluss der Leistung, Artikel 17; Dokumentation und Audits, Artikel 15.

Artikel 8. Personal und Vertraulichkeit

8.1 Der Auftragsverarbeiter beschränkt den Zugriff auf die Daten auf die Personen, die ihn für die Durchführung des Hauptvertrags benötigen, nach dem Grundsatz „Kenntnis nur bei Bedarf“ (need to know), und verpflichtet sich, den Grundsatz der geringsten Rechte nach Maßgabe und innerhalb der Frist des Anhangs 2 flächendeckend umzusetzen.

8.2 Der Auftragsverarbeiter stellt sicher, dass jede natürliche Person, die auf die Daten zugreifen kann, sei sie Geschäftsleiter, Arbeitnehmer, Beauftragter oder externer Bearbeiter, vor der Freischaltung ihrer Zugänge eine schriftliche Vertraulichkeitsverpflichtung eingeht, die über das Ende ihrer Zusammenarbeit hinaus fortbesteht. Er erklärt, dass alle zum Datum dieser Fassung befugten Personen diese schriftliche Verpflichtung eingegangen sind, und weist dies auf Anfrage nach. Diese Verpflichtung enthält einen Hinweis auf die Regel des Artikels 29 DSGVO. Die Liste der befugten Personen wird dem Verantwortlichen auf schriftliche Anfrage mitgeteilt.

8.3 Der Auftragsverarbeiter informiert die Personen, deren administrative Tätigkeit protokolliert und aufgezeichnet wird, über das Bestehen, die Zwecke und die Speicherdauer dieser Verarbeitungen. Die Vertraulichkeitspflicht dieses Artikels tritt neben die Bestimmungen des Hauptvertrags und der AGB über Vertraulichkeit und Geschäftsgeheimnisse, ohne sie zu ersetzen.

8.4 Gemäß Artikel 29 und Artikel 32 Absatz 4 DSGVO stellt der Auftragsverarbeiter sicher, dass jede ihm unterstellte natürliche Person, die Zugang zu den Daten hat, diese nur auf Weisung des Verantwortlichen verarbeitet, es sei denn, sie ist nach dem Recht der Union oder der Mitgliedstaaten dazu verpflichtet. Die nach Ziffer 8.2 eingegangene Vertraulichkeitsverpflichtung enthält einen Hinweis auf diese Regel.

Artikel 9. Sicherheit der Verarbeitung

9.1 Der Auftragsverarbeiter setzt die Sicherheitsmaßnahmen um, die geeignet sind, ein dem Risiko angemessenes Schutzniveau im Sinne von Artikel 32 DSGVO zu gewährleisten, unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für die Rechte und Freiheiten der betroffenen Personen.

9.2 Diese Maßnahmen sind in Anhang 2 beschrieben, der sie in ihrem tatsächlichen Stand zum Datum dieser Fassung darstellt; Maßnahmen, die nicht umgesetzt sind, werden dort in Ziffer A2.20 als solche ausgewiesen.

9.3 Die Pflichten des Auftragsverarbeiters in Bezug auf die Sicherheitsmaßnahmen sind verschärfte Bemühenspflichten (obligations de moyens renforcées). Der Auftragsverarbeiter gewährleistet weder die Abwesenheit von Schwachstellen noch die Unverwundbarkeit der Systeme noch die Unmöglichkeit eines unbefugten Zugriffs. Er informiert den Verantwortlichen ohne unangemessene Verzögerung und spätestens innerhalb von fünf (5) Arbeitstagen über jede nachteilige Änderung einer in Anhang 2 beschriebenen Maßnahme und gibt dabei die betroffene Maßnahme, die Ursache der Änderung, die getroffene Ausgleichsmaßnahme und den Termin für die Rückkehr zum beschriebenen Stand an. Beeinträchtigt diese Änderung das Sicherheitsniveau der Verarbeitung wesentlich, kann der Verantwortliche innerhalb von dreißig (30) Tagen nach dieser Information nach Maßgabe von Ziffer 10.3 einen begründeten Einspruch erheben und, falls keine Einigung erzielt wird, die betroffene Leistung ohne Entschädigung für eine der Parteien kündigen. Keine Aktualisierung von Anhang 2 darf das Niveau der Sicherheitsmaßnahmen ohne einen von beiden Parteien unterzeichneten schriftlichen Nachtrag absenken.

9.4 Wahrhaftigkeit der Erklärungen. Jede Sicherheitserklärung, die der Auftragsverarbeiter im Rahmen dieses AVV oder in Beantwortung eines Lieferantenfragebogens des Verantwortlichen abgibt, stützt sich auf einen datierten Nachweis, den er aufbewahrt und auf erste Anforderung vorlegt. Fehlt ein solcher Nachweis, erklärt er den tatsächlichen Stand der Maßnahme und den Termin ihrer Umsetzung. Der Auftragsverarbeiter verfügt über keine von einer dritten Stelle erteilte Sicherheitszertifizierung, -qualifizierung oder -zulassung; die Bewertungen seiner Sicherheitslage sind werkzeuggestützte Selbstbewertungen, deren Zusammenfassung nach Maßgabe von Artikel 15 mitgeteilt werden kann.

9.5 Betrifft der Hauptvertrag die Bereitstellung von Infrastrukturressourcen, die der Verantwortliche selbst administriert, gilt folgende Verteilung der Sicherheitsverantwortung, sofern der Hauptvertrag keine genauere Bestimmung enthält. In die Zuständigkeit des Auftragsverarbeiters fallen: die Hardware, die Virtualisierungsschicht, das Netzwerk und die Stromversorgung; die Filterung auf Ebene der Virtualisierungsschicht und auf Ebene des vorgelagerten Netzbetreibers; das Backup des vollständigen Abbilds der Maschine; die Mitteilung an den Verantwortlichen über jeden auf Infrastrukturebene erkannten Vorfall ohne unangemessene Verzögerung und spätestens am auf seine Erkennung folgenden Arbeitstag, unbeschadet der Frist nach Ziffer 14.1, wenn dieser Vorfall eine Datenschutzverletzung darstellt. In die Zuständigkeit des Verantwortlichen fallen: das Gastbetriebssystem, seine Sicherheitsupdates und sein Kernel; das Hosting-Panel, die Konten, die Websites und die Datenbanken; die lokale Firewall der Maschine und die Exposition der Anwendungen; die Wiederherstellung auf Anwendungsebene und die Konsistenz der Daten; die Mitteilung an den Auftragsverarbeiter über jeden innerhalb der Maschine erkannten Vorfall ohne unangemessene Verzögerung und spätestens am auf seine Erkennung folgenden Arbeitstag. Der Auftragsverarbeiter übernimmt keine Pflicht zur Erkennung innerhalb des Gastbetriebssystems und hat keine Kenntnis von den dort verarbeiteten Datenkategorien; diese sind jedoch in den verschlüsselten Backup-Abbildern enthalten, die er aufbewahrt. Jede Änderung der vom Auftragsverarbeiter umgesetzten Filterung, die die Verfügbarkeit eines Dienstes des Verantwortlichen beeinträchtigen kann, bedarf dessen vorheriger schriftlicher Zustimmung.

Artikel 10. Unterauftragsverarbeitung

10.1 Allgemeine Genehmigung. Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung im Sinne von Artikel 28 Absatz 2 DSGVO, die in Anhang 3 aufgeführten Unterauftragsverarbeiter in Anspruch zu nehmen; Anhang 3 gibt für jeden von ihnen die Identität, die übertragene Tätigkeit, die betroffenen Datenkategorien, das Land der Verarbeitung und, bei einer Übermittlung außerhalb der Europäischen Union, die anwendbare geeignete Garantie an.

10.2 Vorherige Information. Der Auftragsverarbeiter informiert den Verantwortlichen schriftlich an die in Anhang 1 angegebene Adresse über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, so bald wie möglich ab dem Zeitpunkt, zu dem er davon Kenntnis erlangt, in jedem Fall aber mindestens zehn (10) Tage vor ihrer Umsetzung. Die Information gibt die Identität des neuen Unterauftragsverarbeiters, die übertragene Tätigkeit, die betroffenen Datenkategorien, das Land der Verarbeitung und die anwendbare Übermittlungsgarantie an. Die Parteien sind sich einig, dass diese Frist der kürzesten Vorankündigungsfrist entspricht, die der Auftragsverarbeiter selbst von seinen eigenen Anbietern erhält: Er kann sich nicht zu einer längeren Vorankündigung verpflichten als der, die er selbst erhält.

10.3 Einspruchsrecht. Der Verantwortliche hat ab dieser Information zehn (10) Tage Zeit, schriftlich einen begründeten Einspruch zu erheben, der sich auf Erwägungen des Datenschutzes stützt. Wird innerhalb dieser Frist kein Einspruch erhoben, wird die Änderung umgesetzt und Anhang 3 aktualisiert; das Ausbleiben eines Einspruchs gilt weder als Verzicht darauf, die Inanspruchnahme dieses Unterauftragsverarbeiters später zu beanstanden, noch als Zustimmung zu einer Absenkung des Schutzniveaus der Daten. Im Fall eines Einspruchs suchen die Parteien nach Treu und Glauben gemeinsam nach einer Alternative, insbesondere der Beibehaltung des bisherigen Unterauftragsverarbeiters, ergänzenden Maßnahmen oder dem Ausschluss der Daten aus dem übertragenen Umfang. Dauert die Uneinigkeit an, kann der Verantwortliche die betroffene Leistung ohne Kosten und ohne Entschädigung für eine der Parteien kündigen, allein vorbehaltlich der Bezahlung der erbrachten Leistungen.

10.4 Dringlichkeit. Macht ein Ausfall, eine Sicherheitslücke oder die Geschäftsaufgabe eines Unterauftragsverarbeiters die Einhaltung der Vorankündigungsfrist unmöglich, kann der Auftragsverarbeiter ihn durch einen Dienstleister mit mindestens gleichwertigen Garantien ersetzen und informiert den Verantwortlichen unverzüglich, spätestens innerhalb von zweiundsiebzig (72) Stunden, unter Angabe der Gründe für die Dringlichkeit. Das Einspruchsrecht wird dann nachträglich nach Maßgabe von Ziffer 10.3 ausgeübt.

10.5 Weitergegebene Pflichten. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter gemäß Artikel 28 Absatz 4 DSGVO vertraglich dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere die Verarbeitung auf dokumentierte Weisung, die schriftliche Vertraulichkeitsverpflichtung der befugten Personen, die Sicherheitsmaßnahmen nach Artikel 32 DSGVO, die Meldung von Datenschutzverletzungen ohne unangemessene Verzögerung, die Unterstützung bei der Ausübung der Rechte, die Regelung seiner eigenen Unterauftragsverarbeitung, die Führung des Verzeichnisses nach Artikel 30 Absatz 2 DSGVO, die Information des Auftragsverarbeiters, wenn eine Weisung seiner Auffassung nach gegen die anwendbaren Vorschriften verstößt, sowie die Rückgabe oder Vernichtung der Daten nach Abschluss seiner Leistung mit schriftlicher Bestätigung. Der Auftragsverarbeiter bewahrt einen schriftlichen Nachweis dieser Verpflichtungen auf und teilt ihn dem Verantwortlichen auf schriftliche Anfrage mit.

10.5 bis Verträge der Unterauftragsverarbeiter. Der Auftragsverarbeiter überträgt einem Unterauftragsverarbeiter eine Verarbeitung erst, nachdem er mit ihm den in Artikel 28 Absatz 4 DSGVO vorgesehenen Vertrag über die Unterauftragsverarbeitung geschlossen oder dessen Vertrag angenommen hat; er bewahrt davon ein datiertes Exemplar auf. Er teilt dem Verantwortlichen auf einfache schriftliche Anfrage dessen Referenz und Datum mit.

10.6 Haftung und Führung der Liste. Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen gemäß Artikel 28 Absatz 4 DSGVO in vollem Umfang für die Erfüllung der Pflichten seiner Unterauftragsverarbeiter. Er hält Anhang 3 auf dem neuesten Stand, teilt auf einfache Anfrage dessen geltende Fassung mit und meldet jede von einem seiner Anbieter angekündigte Änderung des Speicherorts der Daten oder der Kette der Unterauftragsverarbeitung.

10.7 Vom Verantwortlichen bezogene Dienste. Dienste, die der Verantwortliche unmittelbar bei Dritten bezieht, insbesondere eine Zahlungsplattform, ein Domainnamendienst, eine Inkassoplattform, ein soziales Netzwerk oder ein Verbreitungsdienst, sind keine Unterauftragsverarbeiter des Auftragsverarbeiters. Sie fallen in die alleinige Verantwortung des Verantwortlichen und werden in Anhang 3 als solche ausgewiesen, wenn sie in der technischen Kette mitwirken.

Artikel 11. Übermittlungen außerhalb der Europäischen Union

11.1 Grundsatz. Die im Rahmen des Hostings und des Backups verarbeiteten Daten werden ausschließlich im Gebiet der Europäischen Union gehostet und aufbewahrt, nach der in Anhang 1 dargestellten Aufteilung. Durch das Hosting oder das Backup findet keine Übermittlung dieser Daten an ein Drittland oder eine internationale Organisation statt. Die Nebendienste des Betriebs, die eine Übermittlung außerhalb der Europäischen Union umfassen, sind in Anhang 3 abschließend aufgeführt und unterliegen den Ziffern 11.2 bis 11.6; sie betreffen nur die in diesem Anhang bezeichneten Datenkategorien.

11.2 Abschließend aufgeführte Übermittlungen. Die einzigen Übermittlungen an ein Drittland sind die in Anhang 3 aufgeführten; Anhang 3 gibt für jede den betroffenen Unterauftragsverarbeiter, die übertragene Tätigkeit, die übermittelten Datenkategorien, das Bestimmungsland und die anwendbare geeignete Garantie im Sinne von Kapitel V DSGVO an.

11.3 Grundlage. Jede Übermittlung ist in folgender Rangfolge abgesichert: durch einen Angemessenheitsbeschluss der Europäischen Kommission im Sinne von Artikel 45 DSGVO, wenn für das Bestimmungsland ein solcher besteht und der Empfänger in seinen Anwendungsbereich fällt; andernfalls durch die zwischen dem Auftragsverarbeiter und dem Empfänger geschlossenen Standardvertragsklauseln im Sinne von Artikel 46 Absatz 2 Buchstabe c DSGVO; in jedem Fall ergänzt durch die zusätzlichen Maßnahmen, die erforderlich sind, um ein Schutzniveau zu gewährleisten, das dem in der Union gewährleisteten im Wesentlichen gleichwertig ist, insbesondere die Minimierung der übermittelten Daten, die Pseudonymisierung, soweit praktikabel, die Verschlüsselung der Kommunikation und die strikte Beschränkung der Zugriffe.

Der Auftragsverarbeiter bewahrt für jede der in Anhang 3 aufgeführten Übermittlungen die anwendbare geeignete Garantie auf und teilt sie dem Verantwortlichen auf schriftliche Anfrage mit. Er informiert ihn ohne unangemessene Verzögerung über jede Übermittlung, für die die Garantie nicht mehr gewährleistet werden könnte, und wendet in einem solchen Fall Ziffer 11.5 an.

11.4 Voraussetzung der Durchführung. Keine Übermittlung an ein Drittland wird aufgenommen oder fortgesetzt, solange die anwendbare geeignete Garantie im Sinne von Kapitel V DSGVO nicht vom Auftragsverarbeiter abgeschlossen und archiviert wurde. Andernfalls setzt der Auftragsverarbeiter den betreffenden Datenfluss aus und informiert den Verantwortlichen darüber. Der Auftragsverarbeiter beschreibt auf schriftliche Anfrage die zusätzlichen Maßnahmen zur Minimierung, Pseudonymisierung und Verschlüsselung, die er auf die betreffende Übermittlung anwendet.

11.5 Ungültigerklärung eines Mechanismus. Wird einer der in Ziffer 11.3 genannten Mechanismen vom Gerichtshof der Europäischen Union, von der Europäischen Kommission oder von der Aufsichtsbehörde für ungültig erklärt, ausgesetzt oder wesentlich geändert, setzen die Parteien ohne unangemessene Verzögerung, spätestens innerhalb von sechzig (60) Tagen nach dem Wirksamwerden der Entscheidung, den verfügbaren Ersatzmechanismus um. Fehlt ein Mechanismus, der ein im Wesentlichen gleichwertiges Schutzniveau gewährleistet, setzt der Auftragsverarbeiter die Übermittlung aus und informiert unverzüglich den Verantwortlichen, der entweder ergänzende Maßnahmen oder die Kündigung der betroffenen Leistung nach Maßgabe von Ziffer 10.3 beschließt.

11.6 Anfragen von Behörden aus Drittländern und Verbote. Der Auftragsverarbeiter informiert den Verantwortlichen, soweit das anwendbare Recht dies zulässt, über jede verbindliche Anfrage einer Behörde eines Drittlands auf Zugang zu den Daten und nutzt die vernünftigerweise verfügbaren Rechtsbehelfe. Er kann nicht gewährleisten, dass gegenüber einem Anbieter, der ausländischem Recht unterliegt, keine derartige Anfrage gestellt wird, insbesondere nach Kapitel 121 von Titel 18 des United States Code. Er unterlässt es, Authentifizierungsdaten oder kryptografische Geheimnisse des Verantwortlichen an einen Unterauftragsverarbeiter, gleich in welchem Land dieser niedergelassen ist, zu übermitteln, und beschränkt die Berechtigungen so, dass eine solche Übermittlung technisch unmöglich ist. Er unterlässt es ebenfalls, ohne die in Artikel 10 vorgesehene vorherige Information eine Übermittlung an ein nicht in Anhang 3 aufgeführtes Drittland vorzunehmen.

Artikel 12. Unterstützung bei der Ausübung der Rechte der betroffenen Personen

12.1 Angesichts der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen auf Ausübung der Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit sowie Anträgen in Bezug auf automatisierte Entscheidungen im Einzelfall und Verfügungen für den Todesfall (directives post mortem) nachzukommen.

12.2 Jeder Antrag, der von einer Person, die sich als betroffene Person ausgibt, unmittelbar an den Auftragsverarbeiter gerichtet wird, wird ohne unangemessene Verzögerung, spätestens innerhalb von drei (3) Arbeitstagen, an den Verantwortlichen weitergeleitet, ohne dass der Auftragsverarbeiter ihn selbst beantwortet, sofern keine abweichende schriftliche Weisung vorliegt. Der Verantwortliche bleibt allein zuständig, die Zulässigkeit des Antrags zu beurteilen und ihn zu beantworten.

12.3 Der Auftragsverarbeiter stellt auf schriftliche Anfrage und nach den in Ziffer A1.5 des Anhangs 1 vereinbarten Modalitäten die Mittel zur Extraktion, Berichtigung und Löschung bereit, über die er auf den Systemen verfügt, die er im Auftrag des Verantwortlichen betreibt, innerhalb einer der Art des Antrags angemessenen Frist. Er gewährleistet nicht, dass ein Datum in den technischen Protokollen und Sicherheitsprotokollen oder in den Backup-Sätzen, deren Struktur keine Einzelsuche zulässt, vollständig aufgefunden wird; das Zusammenspiel von Löschung und Backups regelt Artikel 17.

12.4 Die routinemäßige Unterstützung, bestehend aus der Weiterleitung eines Antrags, der Erstellung eines Standardexports oder der Ausführung einer Löschung, einer Einschränkung oder der Berücksichtigung eines Widerspruchs mit den vorhandenen Funktionen, ist im Preis der Leistung enthalten. Eine weitergehende Unterstützung, insbesondere die Entwicklung einer besonderen Exportfunktion oder die manuelle Extraktion von Daten aus einem dafür nicht vorgesehenen System, setzt ein vorheriges Angebot zum im Hauptvertrag vereinbarten Tagessatz voraus. Teilt der Verantwortliche schriftlich mit, dass ihn die Nichtausführung voraussichtlich die Frist nach Artikel 12 Absatz 3 DSGVO überschreiten lässt, und bestätigt er seinen Auftrag, führt der Auftragsverarbeiter die erforderliche Leistung aus, ohne die förmliche Annahme des Angebots abzuwarten, im Umfang von höchstens zwei (2) Arbeitstagen Aufwand, und stellt sie anschließend zum im Hauptvertrag vereinbarten Tagessatz in Rechnung; er informiert den Verantwortlichen darüber spätestens am Tag der Ausführung schriftlich.

Artikel 13. Datenschutz-Folgenabschätzung und vorherige Konsultation

13.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Durchführung der in Artikel 35 DSGVO vorgesehenen Datenschutz-Folgenabschätzungen und gegebenenfalls bei der in Artikel 36 vorgesehenen vorherigen Konsultation der Aufsichtsbehörde.

13.2 Diese Unterstützung besteht in der Bereitstellung der Beschreibung der von ihm durchgeführten Vorgänge, der umgesetzten Sicherheitsmaßnahmen und der geplanten Maßnahmen mit ihrem Termin, der Liste der Unterauftragsverarbeiter und der Übermittlungen, der Beschreibung der Datenflüsse und der technischen Speicherfristen. Sie umfasst nicht die Abfassung der Datenschutz-Folgenabschätzung, die dem Verantwortlichen obliegt; diese setzt, ebenso wie die Erstellung einer ausführlichen Dokumentation für einen externen Prüfer oder die Teilnahme an Workshops zur Risikoanalyse, ein vorheriges Angebot zum im Hauptvertrag vereinbarten Tagessatz voraus.

13.3 Der Auftragsverarbeiter informiert den Verantwortlichen, wenn er in der übertragenen Verarbeitung ein Merkmal erkennt, das nach den Leitlinien der Aufsichtsbehörde eine Datenschutz-Folgenabschätzung erforderlich machen kann, insbesondere die umfangreiche Verarbeitung sensibler Daten, die Bewertung oder Einstufung von Personen oder die systematische Überwachung öffentlich zugänglicher Bereiche.

Artikel 14. Meldung von Datenschutzverletzungen

14.1 Frist. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Datenschutzverletzung, die die in seinem Auftrag durchgeführten Verarbeitungen betrifft, ohne unangemessene Verzögerung und spätestens achtundvierzig (48) Stunden, einschließlich arbeitsfreier Tage, ab dem Zeitpunkt, zu dem er davon Kenntnis erlangt hat, gemäß Artikel 33 Absatz 2 DSGVO. Diese Frist wird in Kalenderstunden berechnet und weder durch einen Samstag noch durch einen Sonntag noch durch einen Feiertag gehemmt: Sie ist vereinbart, damit dem Verantwortlichen ein nutzbarer Teil der Frist von zweiundsiebzig (72) Stunden verbleibt, die ihm Artikel 33 Absatz 1 DSGVO für die Meldung der Verletzung an die Aufsichtsbehörde einräumt. Als Kenntnisnahme gilt der Zeitpunkt, zu dem der Auftragsverarbeiter einen angemessenen Grad an Gewissheit erlangt, dass ein Sicherheitsvorfall Daten kompromittiert hat. Kann ein Vorfall eine Datenschutzverletzung darstellen, ohne dass dieser Grad an Gewissheit bereits erreicht ist, informiert der Auftragsverarbeiter den Verantwortlichen innerhalb derselben Frist vorläufig darüber, wobei er die Information ausdrücklich als vorläufig kennzeichnet, und führt unverzüglich die erforderlichen Prüfungen durch.

14.2 Tragweite der Verpflichtung. Diese Frist läuft ab der tatsächlichen Kenntnisnahme. Sie stellt keine Verpflichtung zur ununterbrochenen Erkennung dar: Die menschliche Bearbeitung von Sicherheitsereignissen erfolgt an Arbeitstagen; die automatisierte Erkennung bleibt außerhalb dieser Zeiten aktiv, und die Ereignisse werden dort zur Bearbeitung bei Wiederaufnahme erfasst. Der Auftragsverarbeiter übernimmt keine Verpflichtung zu Rufbereitschaft, Bereitschaftsdienst oder ununterbrochener menschlicher Überwachung. Die Fähigkeit des Auftragsverarbeiters zur Kenntnisnahme beruht auf den in Ziffer A2.9 des Anhangs 2 beschriebenen Erkennungsvorkehrungen.

14.3 Inhalt. Die Meldung wird per E-Mail mit Bitte um Eingangsbestätigung an die in Anhang 1 angegebene Kontaktstelle des Verantwortlichen gerichtet und enthält, soweit die Angaben zu diesem Zeitpunkt bekannt sind:

• die Art der Datenschutzverletzung sowie Datum und Uhrzeit ihres Eintritts und ihrer Kenntnisnahme, angegeben in koordinierter Weltzeit (UTC);
• die Kategorien und die ungefähre Zahl der betroffenen Personen sowie die Kategorien und die ungefähre Zahl der betroffenen Datensätze;
• die wahrscheinlichen Folgen der Datenschutzverletzung;
• die ergriffenen oder vorgeschlagenen Maßnahmen zu ihrer Behebung und gegebenenfalls zur Abmilderung ihrer möglichen nachteiligen Auswirkungen;
• den Namen und die Kontaktdaten der Kontaktstelle des Auftragsverarbeiters.

Der Vermerk „zum jetzigen Zeitpunkt unbekannt“ ist für jede noch nicht feststehende Angabe zulässig; er rechtfertigt keinen Aufschub der Meldung. Können die Informationen nicht zur gleichen Zeit bereitgestellt werden, werden sie ohne unangemessene weitere Verzögerung schrittweise mitgeteilt, sobald sie feststehen. Einer verspäteten Meldung ist eine Begründung für die Verzögerung beizufügen, gemäß Artikel 33 Absatz 1 DSGVO.

14.4 Beweissicherung. Ab Kenntnisnahme eines Vorfalls, der eine Datenschutzverletzung darstellen kann, eröffnet der Auftragsverarbeiter ein mit Zeitstempeln versehenes Vorfallprotokoll (main courante), sichert die ihm vorliegenden Beweismittel unverändert und nimmt die vor dem Vorfall erstellten Backup-Sätze von der automatischen Bereinigung aus. Er unterlässt es, Nachrichten, Protokolle oder Dateien zu löschen, die das Ereignis dokumentieren.

14.5 Zuständigkeit des Verantwortlichen. Der Verantwortliche bleibt allein zuständig, das Risiko im Sinne der Artikel 33 und 34 DSGVO zu beurteilen und über die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen zu entscheiden. Der Auftragsverarbeiter nimmt keine Meldung oder Benachrichtigung an seiner Stelle vor. Er unterstützt ihn bei der Erfüllung dieser Pflichten, insbesondere durch die Bereitstellung der technischen Angaben, der mit Zeitstempeln versehenen Chronologie und der Protokollauszüge, über die er zum Zeitpunkt der Anfrage tatsächlich verfügt.

14.6 Erfahrungsbericht und Verzeichnis. Der Auftragsverarbeiter übermittelt dem Verantwortlichen innerhalb von fünfzehn (15) Tagen nach Abschluss der Datenschutzverletzung einen schriftlichen Erfahrungsbericht mit der Chronologie, der festgestellten Ursache, den eingeleiteten Korrekturmaßnahmen und deren Termin. Er dokumentiert jede Datenschutzverletzung in einem Verzeichnis, das die Fakten, deren Auswirkungen und die ergriffenen Maßnahmen umfasst, gemäß Artikel 33 Absatz 5 DSGVO; die Einträge werden fünf (5) Jahre ab Abschluss aufbewahrt, und die den Verantwortlichen betreffenden Auszüge werden ihm auf Anfrage mitgeteilt.

14.7 Gegenseitige Warnung. Der Verantwortliche meldet dem Auftragsverarbeiter innerhalb derselben Frist wie in Ziffer 14.1, ab seiner Kenntnisnahme, jeden Sicherheitsvorfall in seinem eigenen Verantwortungsbereich, der die übertragenen Systeme oder Daten beeinträchtigen kann. Er verpflichtet sich, die Beweismittel jedes in seinem Bereich eingetretenen Vorfalls zu sichern.

Artikel 15. Dokumentation, Audits und Inspektionen

15.1 Bereitstellung von Informationen. Der Auftragsverarbeiter stellt dem Verantwortlichen die Dokumentation zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich ist, insbesondere den ihn betreffenden Auszug aus dem Verzeichnis der Kategorien von Verarbeitungstätigkeiten, die Beschreibung der Sicherheitsmaßnahmen, die aktuelle Liste der Unterauftragsverarbeiter und die Garantien für die in Anhang 3 aufgeführten Übermittlungen.

15.2 Dokumentenprüfung. Der Verantwortliche kann einmal pro Kalenderjahr mit einer schriftlichen Vorankündigung von dreißig (30) Tagen die Übermittlung der Nachweise zu den Zusagen des Anhangs 2 verlangen. Der Auftragsverarbeiter antwortet innerhalb von dreißig (30) Tagen nach Eingang der Anfrage. Diese Häufigkeitsbeschränkung gilt nicht, wenn die Anfrage erforderlich ist, damit der Verantwortliche die Einhaltung seiner eigenen Pflichten nachweisen kann, insbesondere anlässlich einer Datenschutzverletzung oder einer Prüfung durch die Aufsichtsbehörde.

15.3 Vor-Ort-Audit. Der Verantwortliche kann selbst oder durch einen von ihm beauftragten unabhängigen externen Prüfer ein Audit oder eine Inspektion der umgesetzten Maßnahmen durchführen lassen, wenn die folgenden Voraussetzungen kumulativ erfüllt sind: schriftliche Vorankündigung von dreißig (30) Tagen, außer bei Dringlichkeit aufgrund eines nachgewiesenen Sicherheitsvorfalls; ein Audit pro Kalenderjahr außerhalb von Vorfällen; Durchführung während der Arbeitstage und Geschäftszeiten des Auftragsverarbeiters; Umfang beschränkt auf die Systeme und Verarbeitungen, die den Verantwortlichen betreffen; externer Prüfer, der kein Wettbewerber des Auftragsverarbeiters ist und einer schriftlichen Vertraulichkeitsverpflichtung unterliegt. Ein zusätzliches Audit kann nach einer Datenschutzverletzung durchgeführt werden, die den Verantwortlichen betrifft.

15.4 Entgegenhaltbare Grenzen. Der Auftragsverarbeiter kann einer Auditanfrage die Maßnahmen entgegenhalten, die zum Schutz der Daten seiner anderen Kunden, zur Sicherheit seiner Infrastruktur und zum Schutz seiner Geschäftsgeheimnisse erforderlich sind. Er gibt keine Angaben heraus, die eine Identifizierung seiner anderen Kunden ermöglichen, keine Authentifizierungsgeheimnisse, keine internen technischen Adressen und keine Dokumente, deren Übergabe die Angriffsfläche seines Informationssystems vergrößern würde. Er schlägt dann eine alternative Form der wirksamen Überprüfung vor, insbesondere die Vorlage von Bescheinigungen, anonymisierten Aufstellungen mit Zeitstempel oder eine Überprüfung in einer Sitzung ohne Übergabe von Dokumenten. Er kann diese Grenzen nicht geltend machen, um dem Verantwortlichen jede Möglichkeit zu verweigern, die Erfüllung einer in diesem AVV eingegangenen Pflicht zu überprüfen.

15.5 Kosten und Folgemaßnahmen. Die Kosten des Audits trägt der Verantwortliche. Der Auftragsverarbeiter wirkt an jedem Audit im Umfang von einem (1) Arbeitstag unentgeltlich mit; darüber hinaus aufgewendete Zeit wird zum im Hauptvertrag vereinbarten Tagessatz auf Grundlage eines zuvor angenommenen Angebots in Rechnung gestellt, ohne dass diese Abrechnung das Recht, das dem Verantwortlichen nach Artikel 28 Absatz 3 Buchstabe h DSGVO zusteht, wirkungslos machen darf. Abweichend davon trägt der Auftragsverarbeiter die entsprechenden Kosten, wenn das Audit einen wesentlichen Verstoß des Auftragsverarbeiters aufdeckt; er übernimmt die Arbeiten zur Wiederherstellung der Konformität und legt innerhalb von dreißig (30) Tagen einen datierten Maßnahmenplan vor. Der Auditbericht wird dem Auftragsverarbeiter übermittelt, der dreißig (30) Tage Zeit hat, Stellung zu nehmen; er unterliegt der Vertraulichkeitspflicht und darf nicht an Dritte weitergegeben werden, außer an die Aufsichtsbehörde oder in Vollzug einer gerichtlichen Entscheidung.

Artikel 16. Verzeichnis der Kategorien von Verarbeitungstätigkeiten

16.1 Der Auftragsverarbeiter führt ein schriftliches Verzeichnis der Kategorien von im Auftrag des Verantwortlichen durchgeführten Verarbeitungstätigkeiten gemäß Artikel 30 Absatz 2 DSGVO, das den Namen und die Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, in dessen Auftrag er tätig ist, die Kategorien der durchgeführten Verarbeitungen, die Übermittlungen an ein Drittland mit Angabe der geeigneten Garantien und eine allgemeine Beschreibung der Sicherheitsmaßnahmen nach Artikel 32 enthält. Dieses Verzeichnis ist zum Datum dieser Fassung angelegt und befüllt.

16.2 Der den Verantwortlichen betreffende Auszug aus dem Verzeichnis wird ihm auf schriftliche Anfrage innerhalb von dreißig (30) Tagen nach Eingang der Anfrage mitgeteilt, ebenso der Aufsichtsbehörde auf deren Anfrage gemäß Artikel 30 Absatz 4 DSGVO. Das Verzeichnis wird mindestens einmal jährlich sowie bei jeder Änderung des Umfangs der Verarbeitung, der Kette der Unterauftragsverarbeitung oder des Speicherorts der Daten aktualisiert.

Artikel 17. Verbleib der Daten nach Abschluss der Leistung

17.1 Wahl des Verantwortlichen. Nach Abschluss der Leistung, gleich aus welchem Grund, teilt der Verantwortliche dem Auftragsverarbeiter innerhalb von dreißig (30) Tagen ab dem Wirksamwerden der Beendigung des Hauptvertrags schriftlich mit, ob er die Rückgabe sämtlicher Daten in den in Ziffer 17.2 beschriebenen Formaten oder deren Vernichtung wählt. Erfolgt innerhalb dieser Frist keine Mitteilung, richtet der Auftragsverarbeiter an den Verantwortlichen eine schriftliche Erinnerung per Einschreiben mit Rückschein, in der er ihn auffordert, seine Wahl zu treffen, und ausdrücklich darauf hinweist, dass die Daten mangels Antwort vernichtet werden; bleibt diese Erinnerung dreißig (30) Tage ab ihrer ersten Zustellung unbeantwortet, nimmt der Auftragsverarbeiter die Vernichtung vor und informiert den Verantwortlichen darüber nach Maßgabe von Ziffer 17.5. Bis zum Ablauf dieser Frist werden die Daten weiterhin aufbewahrt und durch die Maßnahmen des Anhangs 2 geschützt, ohne andere Verarbeitung als ihre technische Aufbewahrung.

17.2 Rückgabe. Die Rückgabe erfolgt in den nachstehend beschriebenen nutzbaren Formaten; der Auftragsverarbeiter gewährleistet nicht, dass alle diese Formate offene standardisierte Formate sind. Die Rückgabe erfolgt innerhalb von dreißig (30) Tagen nach Eingang der Weisung oder innerhalb von fünfzehn (15) Tagen, wenn der Hauptvertrag dies ausdrücklich vorsieht. Sie umfasst die Anwendungsdaten, übergeben in Form von Datenbankexporten, die vor der Übergabe geprüft und verifiziert werden, die Dateien und Dokumente, übergeben im Originalformat in einer lesbaren Verzeichnisstruktur, und die für die erneute Bereitstellung des Dienstes erforderlichen Konfigurationselemente, unter Ausschluss der Elemente, die der Infrastruktur des Auftragsverarbeiters eigen sind, seiner Betriebsgeheimnisse und seiner internen Werkzeuge. Ein vollständiges Abbild einer virtuellen Maschine kann auf ausdrücklichen Wunsch und vorbehaltlich der technischen Machbarkeit übergeben werden; da es im Format der Backup-Software des Auftragsverarbeiters erstellt wird, erfordert seine Nutzung eine kompatible Umgebung. Die Übergabe erfolgt über einen zwischen den Parteien vereinbarten sicheren Kanal und wird in einem Rückgabeprotokoll festgehalten.

17.3 Vernichtung im aktiven Bestand. Die Vernichtung der Daten im aktiven Bestand und auf den Produktivsystemen erfolgt innerhalb von dreißig (30) Tagen ab der Annahme des Rückgabeprotokolls beziehungsweise ab dem Eingang der Weisung zur Vernichtung.

17.4 Backups. Die Backup-Sätze werden weder verändert noch wird aus ihnen extrahiert, da die Veränderung eines Backups dessen Integrität und Beweiskraft zerstört. Die darin verbleibenden Daten verschwinden durch die automatische Bereinigung mit Ablauf der geltenden Aufbewahrungsfrist, die zwölf (12) Monate ab der Vernichtung im aktiven Bestand nicht überschreiten darf. In diesem Zeitraum werden diese Daten keiner anderen Verarbeitung als ihrer technischen Aufbewahrung unterzogen und bleiben durch die Maßnahmen des Anhangs 2 geschützt. Erfolgt in diesem Zeitraum eine Wiederherstellung, wird die Vernichtung nach der Wiederherstellung sofort erneut durchgeführt.

17.5 Bescheinigung. Der Auftragsverarbeiter übergibt eine datierte Vernichtungsbescheinigung, die den betroffenen Umfang, das Datum der Löschung im aktiven Bestand, das Ablaufdatum des letzten die Daten enthaltenden Backups und das angewandte Verfahren angibt.

17.6 Gesetzlich vorgeschriebene Aufbewahrung. Abweichend davon bewahrt der Auftragsverarbeiter die Daten auf, deren Aufbewahrung ihm durch das Recht der Union oder das französische Recht vorgeschrieben ist, insbesondere Buchungsbelege im Sinne von Artikel L123-22 des Code de commerce (französisches Handelsgesetzbuch), allein für die vorgeschriebene Dauer und allein zur Erfüllung dieser Pflicht; er informiert den Verantwortlichen darüber unter Angabe der Datenkategorie, der Rechtsgrundlage und der Dauer.

17.7 Unterstützung bei der Reversibilität. Die in Ziffer 17.2 vorgesehene Rückgabe erfolgt kostenlos im Rahmen des im Hauptvertrag vorgesehenen Unterstützungskontingents oder, falls keine Bestimmung besteht, im Umfang von vier (4) Arbeitsstunden. Darüber hinaus wird jede Unterstützungsleistung bei der Migration zum im Hauptvertrag vereinbarten Tagessatz in Rechnung gestellt, auf Grundlage eines innerhalb von fünf (5) Arbeitstagen nach der Anfrage übergebenen und angenommenen Angebots. Die über diese Rückgabe hinausgehenden Modalitäten der betrieblichen Reversibilität regelt der Hauptvertrag; falls keine Bestimmung besteht, gelten die in den AGB für die Reversibilität vorgesehenen Modalitäten, die insbesondere die Übergabe der Zugänge, der Administratorkonten, der Domainnamen und der für die Kontinuität erforderlichen Zertifikate umfassen, die im Auftrag des Verantwortlichen gehalten werden. Diese Ziffer schränkt keine im Hauptvertrag oder in den AGB eingegangene Reversibilitätspflicht ein.

17.8 Kontinuität der Rückgabe. Der Auftragsverarbeiter hält eine Betriebsdokumentation auf dem neuesten Stand, die die Übernahme des Dienstes durch einen fachkundigen Dritten ermöglicht. Er benennt einen Ersatzbearbeiter durch eine Vollmacht (délégation de pouvoirs), die durch schriftlichen und datierten Beschluss des Präsidenten des Auftragsverarbeiters erteilt wird. Dieser Beschluss legt den Umfang der Vollmacht fest (Zugang ausschließlich zu den betroffenen Umgebungen, Sicherungsmaßnahmen und Kommunikation mit dem Verantwortlichen, beschränkt auf die zur Erhaltung und Rückgabe der Daten und Konfigurationen erforderlichen Elemente) sowie ihre Aktivierungsbedingungen, nämlich die Handlungsunfähigkeit des Auftragsverarbeiters oder eine Nichtverfügbarkeit von mehr als dreißig (30) Tagen. Da die Vollmacht von der Gesellschaft und nicht von der Person ihres Präsidenten ausgeht, besteht sie auch bei dessen Verhinderung fort. Der Verantwortliche wird darüber informiert, und der Beschluss wird ihm auf schriftliche Anfrage mitgeteilt. Der Auftragsverarbeiter übergibt dem Verantwortlichen auf schriftliche Anfrage die Notfallzugangsmittel, die die Wiederherstellung der Daten ermöglichen, in einem versiegelten Umschlag oder durch Hinterlegung in einem Safe, dessen Freigabe nicht allein von seinem Willen abhängt. Bei tatsächlicher Einstellung der Geschäftstätigkeit des Auftragsverarbeiters, bei Handlungsunfähigkeit der natürlichen Person, die den Betrieb sicherstellt, oder bei dauerhafter Nichtverfügbarkeit seiner Mittel wird die in Ziffer 17.2 vorgesehene Rückgabe unverzüglich durchgeführt; andernfalls kann der Verantwortliche sie durch den Ersatzbearbeiter ausführen lassen. Die Eröffnung eines Insolvenzverfahrens (procédure collective) gegen eine Partei bewirkt weder die automatische Beendigung dieses AVV noch die vorzeitige Fälligkeit einer Verpflichtung und stellt für sich genommen kein auslösendes Ereignis im Sinne dieser Ziffer dar; die Befugnisse des Insolvenzverwalters (administrateur) und des Liquidators (liquidateur), die Fortführung laufender Verträge zu verlangen, bleiben vorbehalten, unbeschadet der Pflicht zur Löschung oder Rückgabe der Daten. Die Benennung dieses Ersatzbearbeiters, die Annahme des Beschlusses, der ihm diese Befugnisse überträgt, und die Einrichtung der Hinterlegung sind zum Datum dieser Fassung erfolgt.

Artikel 18. Pflichten des Verantwortlichen

18.1 Der Verantwortliche verpflichtet sich, für jede übertragene Verarbeitung über eine gültige Rechtsgrundlage im Sinne von Artikel 6 DSGVO und gegebenenfalls über eine Ausnahme im Sinne von Artikel 9 Absatz 2 zu verfügen, die anwendbaren Vorschriften für alle Verarbeitungen einzuhalten, deren Zwecke und Mittel er festlegt, und dies auf Anfrage nachzuweisen.

18.2 Er informiert die betroffenen Personen gemäß den Artikeln 12 bis 14 DSGVO, holt Einwilligungen ein und verwaltet sie, wenn sie erforderlich sind, und beantwortet die an ihn gerichteten Anträge auf Ausübung von Rechten.

18.3 Er dokumentiert jede Weisung in Bezug auf die Verarbeitung schriftlich in der Form des Artikels 6 und gewährleistet die Rechtmäßigkeit seiner Weisungen.

18.4 Er benennt in Anhang 1 eine Kontaktstelle für den Datenschutz, die während der gesamten Laufzeit des AVV erreichbar ist, und informiert den Auftragsverarbeiter ohne unangemessene Verzögerung über jede Änderung. Ist keine Kontaktperson erreichbar, gelten Mitteilungen an die in Anhang 1 angegebene Adresse als ordnungsgemäß zugestellt.

18.5 Er übermittelt dem Auftragsverarbeiter und legt auf den von diesem betriebenen Systemen nur die Daten ab, die zur Durchführung des Hauptvertrags erforderlich sind. Er unterlässt es insbesondere, Produktivdaten in eine Entwicklungs-, Test- oder Demonstrationsumgebung zu übernehmen; Testdatensätze müssen synthetisch oder anonymisiert sein. Spiegelbildlich zu dieser Pflicht unterlässt es der Auftragsverarbeiter, eine Kopie von Daten auf seinem Administrationsrechner länger als für den laufenden Vorgang unbedingt erforderlich aufzubewahren.

18.6 Er gewährleistet die Sicherheit der Zugänge, über die er auf den vom Auftragsverarbeiter betriebenen Systemen verfügt, die Verwaltung und den Entzug der Berechtigungen, die er seinem eigenen Personal und seinen Dienstleistern erteilt, sowie die Sicherheit der Geräte, von denen aus er sich verbindet.

18.7 Er informiert den Auftragsverarbeiter, wenn er besonderen branchenspezifischen Pflichten unterliegt, insbesondere nach der Richtlinie (EU) 2022/2555 oder der Verordnung (EU) 2022/2554, damit die Parteien die Modalitäten der Zusammenarbeit und die Fristen vereinbaren, die es ihm ermöglichen, seine eigenen Meldepflichten zu erfüllen. Im Hinblick auf die Größenkriterien des Artikels 2 der Richtlinie (EU) 2022/2555 und nach dem Stand des französischen Rechts zum Datum dieser Fassung, in dem die Umsetzung dieser Richtlinie noch nicht erfolgt ist, gilt der Auftragsverarbeiter insoweit nicht als wesentliche oder wichtige Einrichtung. Er informiert den Verantwortlichen ohne unangemessene Verzögerung über jede Änderung dieser Einstufung, die sich aus dem Umsetzungsgesetz, einem Durchführungsrechtsakt oder einer Änderung seiner eigenen Situation ergibt.

18.8 Er bleibt gegenüber den betroffenen Personen und der Aufsichtsbehörde in vollem Umfang für die Konformität der Verarbeitung verantwortlich, deren Zwecke und Mittel er festlegt.

18.9 Besondere Daten. Diese Ziffer gilt, wenn der Hauptvertrag gemäß Ziffer 5.2 angibt, dass die Verarbeitung besondere Kategorien von Daten im Sinne der Artikel 9 und 10 DSGVO betrifft. Der Verantwortliche gewährleistet dann, dass er über eine Ausnahme im Sinne von Artikel 9 Absatz 2 DSGVO oder, bei Daten über strafrechtliche Verurteilungen und Straftaten, über die nach Artikel 10 erforderliche Grundlage verfügt. Die Parteien vereinbaren folgende verstärkte Maßnahmen: namentliche Beschränkung der Zugriffe des Auftragsverarbeiters, verstärkte Protokollierung der Einsichtnahmen, Pseudonymisierung der zu Diagnosezwecken verwendeten Auszüge und Ausschluss dieser Daten von den in Anhang 3 genannten Hilfswerkzeugen für den Betrieb. Der Verantwortliche wird ausdrücklich darauf hingewiesen, dass dieser Ausschluss auf einer Nutzungsanweisung und nicht auf einer technischen Beschränkung beruht, da das technische Konto des Hilfswerkzeugs über weitreichende Rechte auf der Basisinfrastruktur des Auftragsverarbeiters verfügt. Folglich unterlässt der Auftragsverarbeiter jede Nutzung dieses Werkzeugs auf den Systemen, die die in dieser Ziffer genannten Daten enthalten, und führt die entsprechenden Diagnosen ohne dieses Werkzeug durch. Der Verantwortliche wird außerdem darauf hingewiesen, dass die Verschlüsselung der Speichervolumes der Produktivsysteme zum Datum dieser Fassung nicht umgesetzt ist, nach Maßgabe von Ziffer A2.2 und Punkt 1 der Ziffer A2.20 des Anhangs 2. Die Verarbeitung besonderer Kategorien von Daten wird erst aufgenommen, nachdem die Verschlüsselung ruhender Daten auf dem Volume, das sie aufnimmt, umgesetzt wurde, oder andernfalls nach ausdrücklicher schriftlicher Zustimmung des Verantwortlichen, in der diese Grenze und die gewählten Ausgleichsmaßnahmen ausdrücklich genannt werden.

Artikel 19. Haftung und Schadensverteilung

19.1 Jede Partei haftet für den durch die Verarbeitung verursachten Schaden, wenn sie ihren speziell ihr auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder unter Nichtbeachtung der dokumentierten Weisungen oder gegen diese gehandelt hat, gemäß Artikel 82 Absatz 2 DSGVO.

19.2 Sind beide Parteien an derselben Verarbeitung beteiligt und für einen durch diese verursachten Schaden verantwortlich, wird die endgültige Last des Schadensersatzes zwischen ihnen entsprechend dem jeweiligen Anteil an der Verantwortung verteilt, gemäß Artikel 82 Absatz 5 DSGVO. Die Partei, die den gesamten Schaden ersetzt hat, kann in Höhe dieses Anteils bei der anderen Rückgriff nehmen. Dieser Artikel berührt nicht das Recht der betroffenen Personen, von jeder der Parteien vollständigen Ersatz ihres Schadens zu verlangen, gemäß Artikel 82 Absatz 4 DSGVO.

19.3 Obergrenze. Im Verhältnis zwischen den Parteien ist die finanzielle Haftung des Auftragsverarbeiters aus diesem AVV und dem Hauptvertrag, gleich aus welchem Rechtsgrund, auf die Obergrenze begrenzt, die der Hauptvertrag oder, mangels eigener Bestimmung, die in diesen Vertrag einbezogene Fassung der Allgemeinen Geschäftsbedingungen des Dienstleisters vorsieht. Die Parteien vereinbaren ausdrücklich, dass zwischen ihnen nur eine einzige Obergrenze besteht, nämlich die des Hauptvertrags, und dass dieser AVV keine zweite eröffnet. Diese Obergrenze ist einheitlich und umfassend: Sie gilt ohne Kumulierung für alle Ansprüche aus diesem AVV und dem Hauptvertrag, die sich auf dasselbe auslösende Ereignis beziehen, und gilt insbesondere für Schäden, die aus einem Verstoß gegen die Sicherheitsmaßnahmen, gegen die Pflichten nach Artikel 32 DSGVO oder gegen die dokumentierten Weisungen entstehen, auch im Rahmen des in Ziffer 19.2 vorgesehenen Rückgriffs. Die Parteien erkennen ausdrücklich an, dass diese Obergrenze in Anbetracht der Art der Leistungen, des Preisniveaus, der in Ziffer A2.20 des Anhangs 2 erklärten Grenzen und der von ihnen gewollten Risikoverteilung die Tragweite der wesentlichen Sicherheitspflicht (obligation essentielle) im Sinne von Artikel 1170 des Code civil wahrt und kein erhebliches Ungleichgewicht im Sinne von Artikel 1171 desselben Gesetzbuchs schafft.

19.4 Ausnahmen. Diese Obergrenze gilt nicht bei Vorsatz (dol), grober Fahrlässigkeit (faute lourde), Personenschäden, vorsätzlicher Verletzung der Vertraulichkeit, für die Rechtsmängelgewährleistung (garantie d’éviction) aus der Klausel über geistiges Eigentum des Hauptvertrags und nicht in den Fällen, in denen das Gesetz eine Beschränkung verbietet. Nach Artikel 83 DSGVO verhängte Geldbußen haben persönlichen Charakter: Sie verbleiben ausschließlich bei der sanktionierten Partei und begründen weder eine Übernahme noch einen Rückgriff zwischen den Parteien. Der in Ziffer 19.2 vorgesehene Rückgriff betrifft nur den Ersatz der den betroffenen Personen im Sinne von Artikel 82 DSGVO entstandenen Schäden und ist auf die Obergrenze nach Ziffer 19.3 begrenzt.

19.5 Ausgeschlossen sind mittelbare und immaterielle Schäden, insbesondere Umsatz-, Margen-, Kunden- oder Imageverluste, entgangener Gewinn und der Verlust von Daten, die der Verantwortliche nicht selbst gesichert hat, wenn das Backup nicht Gegenstand des Hauptvertrags ist. Abweichend davon gilt dieser Ausschluss weder für den Ersatz des Schadens, einschließlich des immateriellen Schadens, den eine betroffene Person nach Artikel 82 DSGVO erleidet, noch für den in Ziffer 19.2 geregelten Rückgriff zwischen den Parteien, die jeweils auf die Obergrenze nach Ziffer 19.3 begrenzt sind.

19.6 Der Auftragsverarbeiter erklärt, Inhaber einer gültigen Berufshaftpflichtversicherung bei Hiscox SA, französische Zweigniederlassung (49 avenue de l’Opéra, 75002 Paris, RCS Paris 833 546 989), zu sein, die die Tätigkeiten Hosting und Managed Services abdeckt und einen Deckungsteil für die finanziellen Folgen von Cyberereignissen und Verwaltungssanktionen nach Maßgabe der Police umfasst. Er hält diesen Versicherungsschutz während der gesamten Laufzeit des AVV aufrecht und weist ihn auf schriftliche Anfrage durch Vorlage einer aktuellen Bescheinigung nach, die die versicherten Tätigkeiten, die Deckungssummen und den Gültigkeitszeitraum angibt. Die tatsächlich versicherten Tätigkeiten und der tatsächlich versicherte räumliche Geltungsbereich sind diejenigen, die in dieser Bescheinigung angegeben sind; der Auftragsverarbeiter gibt im Rahmen dieses AVV keine andere Erklärung zum Umfang seines Versicherungsschutzes ab als die, die sich daraus ergibt, und übernimmt keine unmittelbare Einstandspflicht zugunsten des Verantwortlichen. Der Abschluss dieser Versicherung bewirkt keine Erweiterung der Obergrenzen nach Artikel 19.

19.7 Verjährungsfrist. Abweichend von jeder entgegenstehenden Bestimmung des Hauptvertrags oder der AGB und in Anwendung von Artikel 2254 des Code civil verjähren Ansprüche aus diesem AVV, einschließlich des in Ziffer 19.2 vorgesehenen Rückgriffs, in drei (3) Jahren ab dem Tag, an dem die anspruchstellende Partei von den Tatsachen, die ihr die Geltendmachung ihres Anspruchs ermöglichen, Kenntnis erlangt hat oder hätte erlangen müssen. Diese Frist berührt weder die Rechte, die den betroffenen Personen nach Artikel 82 DSGVO zustehen, noch zwingende Verjährungsfristen.

Artikel 20. Allgemeine Bestimmungen

20.1 Mitteilungen. Sofern nichts anderes bestimmt ist, werden die in diesem AVV vorgesehenen Mitteilungen wirksam per E-Mail mit Bitte um Eingangsbestätigung an die in Anhang 1 angegebenen Kontaktstellen übermittelt. Mitteilungen über eine Kündigung, eine Inverzugsetzung (mise en demeure) oder einen Einspruch im Sinne von Artikel 10 werden durch Einschreiben mit Rückschein bestätigt.

20.2 Nachweis. E-Mails, technische Protokolle, Aufzeichnungen von Administrationssitzungen und von den Systemen des Auftragsverarbeiters erzeugte Zeitstempel sind zwischen den Parteien gemäß Artikel 1366 und 1367 des Code civil beweiskräftig, vorbehaltlich des Gegenbeweises. Diese nach Artikel 1356 des Code civil getroffene Beweisvereinbarung wirkt zugunsten beider Parteien: Der Verantwortliche kann dem Auftragsverarbeiter dieselben Elemente entgegenhalten, und auf schriftliche Anfrage im Rahmen einer Streitigkeit übermittelt ihm der Auftragsverarbeiter die Auszüge aus Protokollen, Sitzungsaufzeichnungen und Zeitstempeln, die sich auf die strittigen Tatsachen beziehen, innerhalb der Grenzen und nach den alternativen Modalitäten von Ziffer 15.4. Eine elektronische Signatur gemäß der Verordnung (EU) Nr. 910/2014 ist für die Unterzeichnung dieses AVV zulässig.

20.3 Teilnichtigkeit und kein Verzicht. Sollte eine Bestimmung für nichtig oder nicht anwendbar erklärt werden, bleiben die übrigen Bestimmungen voll wirksam, und die Parteien verhandeln nach Treu und Glauben eine Ersatzbestimmung mit gleichwertiger Wirkung. Macht eine Partei einen Verstoß der anderen nicht geltend, liegt darin kein Verzicht, ihn später geltend zu machen.

20.4 Übertragung und Sprache. Der AVV teilt das rechtliche Schicksal des Hauptvertrags und kann nicht unabhängig von diesem übertragen werden. Er ist in französischer Sprache abgefasst; nur die französische Fassung ist zwischen den Parteien maßgeblich.

Artikel 21. Anwendbares Recht und Gerichtsstand

21.1 Dieser AVV unterliegt französischem Recht und den anwendbaren Vorschriften.

21.2 Vorherige gütliche Einigung. Bei einer Streitigkeit über das Zustandekommen, die Auslegung, die Durchführung oder die Beendigung dieses AVV wendet sich die zuerst handelnde Partei schriftlich an die andere und legt den Gegenstand der Streitigkeit und die vorgeschlagene Lösung dar. Die Parteien bemühen sich nach Treu und Glauben um eine Verhandlungslösung. Der Einigungsversuch gilt mit Ablauf einer Frist von dreißig (30) Tagen ab dieser schriftlichen Befassung als beendet, sofern keine schriftlich vereinbarte Verlängerung vorliegt. Er steht weder der Anrufung des Richters im Eilverfahren (juge des référés) noch der Einleitung von Sicherungs- oder Beweissicherungsmaßnahmen noch einem Mahnverfahren (injonction de payer) noch der Ausübung der Rechte entgegen, die einer betroffenen Person nach den Artikeln 77 bis 79 DSGVO zustehen.

21.3 Die Parteien treffen keine Gerichtsstandsvereinbarung: Kommt keine gütliche Einigung nach Maßgabe von Ziffer 21.2 zustande, wird die Streitigkeit vor das nach den allgemeinen Vorschriften zuständige Gericht gebracht. Ist der Verantwortliche eine juristische Person des öffentlichen Rechts und fällt der Hauptvertrag unter den Code de la commande publique (französisches Vergabegesetzbuch), sind für Streitigkeiten die Verwaltungsgerichte zuständig, da diese Verträge nach Artikel L6 dieses Gesetzbuchs verwaltungsrechtliche Verträge sind.

21.4 Die Bestimmungen dieses Artikels lassen die Zuständigkeit der Aufsichtsbehörde, das Recht der betroffenen Personen auf Beschwerde bei einer Aufsichtsbehörde im Sinne von Artikel 77 DSGVO und ihr Recht auf einen wirksamen gerichtlichen Rechtsbehelf im Sinne der Artikel 78 und 79 derselben Verordnung unberührt.

Veröffentlicht von SANFYTECH, vertreten durch Cédric SANTIAGO, Präsident. Der Dienstleister bewahrt von jeder veröffentlichten Fassung ein unveränderliches Exemplar auf und stellt dem Verantwortlichen auf einfache Anfrage eine Kopie auf Papier oder auf einem dauerhaften Datenträger zur Verfügung.

Anhang 1. Speicherort, dokumentierte Weisungen und Kontaktstellen

Auf diesen Anhang wird in den Artikeln 5 und 6 des AVV verwiesen. Er wird mit dem AVV veröffentlicht und lautet nicht auf einen bestimmten Namen: Die Angaben nach Artikel 28 Absatz 3 DSGVO sind in Artikel 5 festgelegt, und was einem Auftrag eigen ist, steht nach Maßgabe von Ziffer 5.2 im Hauptvertrag.

A1.2 Speicherort der Daten

Es gilt Folgendes: Backups werden vor der Übertragung an der Quelle verschlüsselt; die primäre Kopie wird in der Europäischen Union (Deutschland) und eine Spiegelkopie in Frankreich aufbewahrt. Der Verantwortliche erkennt an, darüber informiert worden zu sein, dass sich die primäre Backup-Kopie in Deutschland und nicht in Frankreich befindet, und verpflichtet sich, diese Information in seine eigene Datenschutzerklärung zu übernehmen, wenn er dort den Speicherort des Hostings angibt. Jede Änderung des Speicherorts eines dieser Standorte wird mit einer Vorankündigungsfrist von dreißig (30) Tagen mitgeteilt.

A1.3 Ursprüngliche dokumentierte Weisungen

Der Verantwortliche erteilt dem Auftragsverarbeiter die folgenden dauerhaften Weisungen, die diejenigen aus dem Haupttext des AVV und aus dem Hauptvertrag ergänzen.

1. Die Daten im Rahmen der im Hauptvertrag beschriebenen Leistungen hosten, ausführen, sichern und wiederherstellen und sie zu keinem anderen Zweck verwenden.
2. Auf Anwendungsinhalte nur für einen Betriebsvorgang, die Behebung eines Vorfalls, die Ausführung einer schriftlichen Weisung oder aufgrund einer gesetzlichen Pflicht zugreifen und diesen Zugriff nachvollziehbar protokollieren.
3. Die vom Verantwortlichen festgelegten fachlichen Speicherfristen anwenden und sie nicht aus eigener Initiative ändern.
4. Keine Übermittlung von Daten außerhalb der Europäischen Union vornehmen, die nicht in Anhang 3 aufgeführt ist.
5. An ein Hilfswerkzeug für den Betrieb keine Daten über das hinaus übermitteln, was die Diagnose des bearbeiteten Vorfalls unbedingt erfordert, und keinerlei Authentifizierungsgeheimnisse.
6. Die Daten nicht zum Training, zur Feinabstimmung oder zur Bewertung eines Modells des maschinellen Lernens verwenden und von den Anbietern seiner Werkzeuge die Zusage einholen, dass die übermittelten Inhalte nicht zu diesem Zweck verwendet werden.
7. Jeden unmittelbar eingegangenen Antrag auf Ausübung von Rechten innerhalb von drei (3) Arbeitstagen an den Verantwortlichen weiterleiten, ohne ihn zu beantworten.
8. Jede Datenschutzverletzung nach Maßgabe von Artikel 14 melden.

A1.4 Kontaktstellen für den Datenschutz

A1.5 Modalitäten der Unterstützung bei der Ausübung der Rechte

Technische Protokolle, Sicherheitsprotokolle und Backup-Sätze erlauben keine Einzelsuche; ihren Verbleib regelt Artikel 17. Jeder über die vorstehenden Mittel hinausgehende Vorgang fällt unter die weitergehende Unterstützung nach Artikel 12.4.

Anhang 2. Technische und organisatorische Maßnahmen

Auf diesen Anhang wird in Artikel 9 des AVV verwiesen. Er beschreibt die nach Artikel 32 DSGVO umgesetzten Maßnahmen in ihrem tatsächlichen Stand zum Datum dieser Fassung. Er beschreibt diese Maßnahmen sowohl auf der Ebene der gegenüber dem Verantwortlichen verbindlichen Zusagen als auch in ihren technischen Einzelheiten. Maßnahmen, die nicht umgesetzt sind, werden in Ziffer A2.20 als solche ausgewiesen.

A2.1 Gegenstand, Begriffsbestimmungen und Tragweite

A2.1.1 Gegenstand. Dieser Anhang beschreibt die technischen und organisatorischen Maßnahmen, die SANFYTECH, nachfolgend der „Dienstleister“, umsetzt, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, in Anwendung von Artikel 32 der Verordnung (EU) 2016/679. Er gilt als Beschreibung der Maßnahmen im Sinne von Artikel 28 Absatz 3 Buchstabe c derselben Verordnung. Er beschreibt diese Maßnahmen in ihrem tatsächlichen Stand zum Datum der Unterzeichnung: Maßnahmen, die nicht umgesetzt sind, werden als solche im Text jedes Artikels und zusammenfassend in Ziffer A2.20 ausgewiesen.

A2.1.2 Begriffsbestimmungen. „Vertrag“: je nach Fall der in Anwendung von Artikel 28 der Verordnung (EU) 2016/679 geschlossene Auftragsverarbeitungsvertrag, nachfolgend der „AVV“, der Hostingvertrag, der Vertrag über Managed Services oder jeder andere Vertrag, dem dieser Anhang beigefügt ist. „Kunde“: der Vertragspartner des Dienstleisters, Verantwortlicher. „Daten“: die personenbezogenen Daten, die der Dienstleister im Auftrag des Kunden verarbeitet. „Gehostete Systeme“: die Server, virtuellen Maschinen, Container und Dienste, die der Dienstleister zur Erbringung des Dienstes betreibt. „Delegierter Bereich“: die Systeme, für die der Dienstleister die Infrastruktur, die Virtualisierungsschicht und die Netzwerkfilterung bereitstellt, deren Gastsystem, Konten und Anwendungen der Kunde jedoch selbst administriert. „Bastion“: der Übergangspunkt, über den der Dienstleister menschliche Administrationssitzungen authentifiziert, autorisiert und aufzeichnet. „Frontserver“: der einzige Zugangspunkt, der die verschlüsselte Verbindung terminiert und die in einem privaten Netzwerk befindlichen gehosteten Systeme veröffentlicht. „Arbeitstag“: jeder Tag außer Samstag, Sonntag und gesetzlichen Feiertagen in Frankreich. Ist dieser Anhang dem AVV beigefügt, ist unter dem „Dienstleister“ der Auftragsverarbeiter und unter dem „Kunden“ der Verantwortliche im Sinne jenes Dokuments zu verstehen.

A2.1.3 Art der Pflicht. Die Sicherheitspflichten des Dienstleisters sind verschärfte Bemühenspflichten (obligations de moyens renforcées). Der Dienstleister gewährleistet weder die Abwesenheit von Schwachstellen in den von ihm betriebenen Softwarekomponenten noch die Unverwundbarkeit der gehosteten Systeme noch die Unmöglichkeit eines unbefugten Zugriffs. Dieser Anhang begründet keine vom Vertrag abweichende Haftungsregelung: Der Ersatz für einen Verstoß gegen eine der darin beschriebenen Maßnahmen richtet sich nach den Haftungsbestimmungen des Vertrags und, für die Daten, nach denen des AVV, auch hinsichtlich der vereinbarten Obergrenze, ihres einheitlichen und umfassenden Charakters und der für sie geltenden Ausnahmen. Gemäß Artikel 1170 des Code civil kann keine dieser Bestimmungen die wesentliche Sicherheitspflicht des Dienstleisters ihres Kerns berauben.

A2.1.4 Wahrhaftigkeit und Änderungen. Jede Sicherheitserklärung des Dienstleisters, auch in Beantwortung eines Lieferantenfragebogens, stützt sich auf einen datierten Nachweis, den er auf erste Anforderung vorlegt; fehlt ein solcher, erklärt er den tatsächlichen Stand der Maßnahme. Er informiert den Kunden schriftlich über jede nachteilige Änderung einer nachstehend beschriebenen Maßnahme, ohne unangemessene Verzögerung, wenn diese Änderung ein unmittelbares Risiko für die Sicherheit der Daten des Kunden schafft, und unter Angabe der in der Zwischenzeit umgesetzten Ersatzmaßnahme. Der Dienstleister verfügt über keine Sicherheitszertifizierung oder -qualifizierung und beruft sich auf keine.

A2.1.5 Tragweite und Überprüfung. Dieser Anhang bildet Anhang 2 des AVV; das Dokument „Anhang. Technische und organisatorische Sicherheitsmaßnahmen“ gibt seinen Text unverändert wieder, wenn es einem anderen Vertrag beigefügt ist, ohne seine Tragweite einschränken zu können. Bei Widersprüchen mit dem Haupttext des AVV geht dieser vor; bei Abweichungen von seinen anderen Anhängen geht die für den Kunden günstigste Bestimmung vor. Besteht kein AVV, ist dieser Anhang nach dem Vertrag auszulegen, dem er beigefügt ist, und ergänzend nach den Allgemeinen Geschäftsbedingungen des Dienstleisters unter der Adresse https://www.sanfytech.com/legal/cgv. Der Dienstleister kann sich nicht auf das Fehlen eines AVV berufen, um dem Kunden die Ausübung der Rechte zu verweigern, die ihm Artikel 28 Absatz 3 der Verordnung (EU) 2016/679 zuerkennt. Dieser Anhang begründet keine Verfügbarkeitszusage und keine Garantie für Reaktions- oder Wiederherstellungszeiten: Solche Zusagen stehen gegebenenfalls ausschließlich in den besonderen Vertragsbedingungen und im Anhang über die Servicelevel. Er wird vor jeder Unterzeichnung, der er beigefügt wird, und bei jeder grundlegenden Änderung der Architektur, eines Anbieters oder des Risikoniveaus aktualisiert.

A2.2 Governance, Organisation und Ausnahmen

A2.2.1 Organisation. Der Dienstleister ist ein kleines Unternehmen, dessen Betrieb auf einer begrenzten Zahl von Bearbeitern beruht; die Zahl der befugten natürlichen Personen ist strukturell begrenzt. Er hat keinen Datenschutzbeauftragten benannt, da keine der Voraussetzungen von Artikel 37 Absatz 1 der Verordnung (EU) 2016/679 erfüllt ist: Er ist weder eine Behörde noch eine öffentliche Stelle, und seine Kerntätigkeit besteht weder in einer umfangreichen regelmäßigen und systematischen Überwachung betroffener Personen noch in einer umfangreichen Verarbeitung von Daten im Sinne der Artikel 9 und 10 derselben Verordnung. Er benennt eine zentrale Kontaktstelle für Sicherheit und Datenschutz, erreichbar unter der Adresse rgpd@sanfytech.com. Erklärte Abweichungen: weder Aufgabentrennung noch Vier-Augen-Freigabe noch eine unabhängige interne Revisionsfunktion.

A2.2.2 Keine Zertifizierung und kein externes Audit. Der Dienstleister verfügt über keine von einer dritten Stelle erteilte Sicherheitszertifizierung, -qualifizierung oder -zulassung. Die Bewertungen seiner Sicherheitslage sind werkzeuggestützte Selbstbewertungen; sie gelten weder als unabhängiges Audit noch als Penetrationstest noch als Zulassung. Erklärte Abweichung: Es wurde weder ein unabhängiges Audit noch ein externer Penetrationstest durchgeführt.

A2.2.3 Regulatorische Einordnung. Zum Datum dieses Anhangs ist die Richtlinie (EU) 2022/2555 nicht in französisches Recht umgesetzt worden. Im Hinblick auf die Größenkriterien ihres Artikels 2 fällt der Dienstleister nicht unter die wesentlichen oder wichtigen Einrichtungen und ebenso wenig unter die Kategorien, die diese Richtlinie unabhängig von ihrer Größe erfasst. Er informiert den Kunden über jede Änderung seines Status hinsichtlich der Anwendbarkeit innerhalb von dreißig (30) Tagen ab Inkrafttreten des Umsetzungsrechtsakts oder ab der Änderung seiner Situation. Er unterliegt als Auftragsverarbeiter in vollem Umfang der Verordnung (EU) 2016/679.

A2.2.4 Ausnahmen. Jede Ausnahme von den beschriebenen Maßnahmen erfolgt schriftlich, wird begründet, mit einer Ausgleichsmaßnahme versehen, datiert und trägt ein Datum der erneuten Prüfung in höchstens zwölf (12) Monaten; wird sie bis zu diesem Datum nicht erneut geprüft, entfällt sie, und die Maßnahme ist wieder in vollem Umfang anwendbar. Das Verzeichnis der Ausnahmen wird dem Kunden auf schriftliche Anfrage mitgeteilt.

A2.3 Zugriffskontrolle und Berechtigungsverwaltung

A2.3.1 Berechtigungen. Zugriffsrechte auf die gehosteten Systeme werden nach den Grundsätzen „Kenntnis nur bei Bedarf“ und der geringsten Rechte vergeben. Die Umgebungen jedes Kunden sind in eigenen Rollen abgeschottet, ohne Einsicht in die Umgebungen anderer Kunden oder in die Basisinfrastruktur des Dienstleisters; diese Ausschließlichkeit wird Ziel für Ziel überprüft und dokumentiert; sie betrifft die Berechtigungen und nicht die Netzwerkflüsse zwischen Gastsystemen. Die technischen Konten für Backup und Virtualisierung sind auf eine Rolle mit geringsten Rechten beschränkt, ohne Recht zur Änderung der Konfiguration.

A2.3.2 Lebenszyklus eines Zugangs. Jedes Ausscheiden und jeder Funktionswechsel führt zur Schließung der entsprechenden Zugänge in allen Identitätssystemen des Dienstleisters.

A2.3.3 Zurechnung. Der menschliche Zugriff erfolgt bis zur Bastion namentlich, die die Sitzung aufzeichnet; die Zurechnung der Handlungen beruht auf dieser Aufzeichnung. Erklärte Abweichungen: Auf einem Teil der Systeme besteht noch ein gemeinsam genutztes Systemadministrationskonto, ausgeglichen durch die ausschließliche Schlüsselauthentifizierung, durch die Sitzungsaufzeichnung und durch die Warnmeldung bei Nutzung des Notfallzugangs; die menschlichen Administrationskonten verfügen über weitreichende Rechte auf der vom Dienstleister betriebenen Basisinfrastruktur, da der Grundsatz der geringsten Rechte für sie nicht flächendeckend umgesetzt ist.

A2.4 Authentifizierung

A2.4.1 Technische Zugänge. Der Zugang zu den gehosteten Systemen erfolgt ausschließlich über ein verschlüsseltes Protokoll mit Authentifizierung per kryptografischem Schlüssel vom Typ ed25519; die Authentifizierung per Passwort wird durch die Konfiguration aller administrierten Server im Bereich des Kunden abgelehnt, die automatisiert über eine einzige Datei ausgerollt wird. Der Satz von Algorithmen ist in der gesamten Serverflotte einheitlich und umfasst einen hybriden, gegen Quantenangriffe resistenten Schlüsselaustausch. Der Dienstleister verwendet in keiner Weise SMS, Sprachanruf oder Sicherheitsfragen als Authentifizierungsfaktor.

A2.4.2 Mehr-Faktor-Authentifizierung. Erklärte Abweichung: Kein Administrationssystem des Dienstleisters erzwingt einen zweiten Faktor. Als Ausgleich dienen die ausschließliche Authentifizierung per kryptografischem Schlüssel, die Herkunftsbeschränkung der Bastion und die Sitzungsaufzeichnung.

A2.4.3 Passwörter. Die Richtlinie des Dienstleisters sieht folgende Mindestlängen vor: fünfzehn (15) Zeichen für die Konten der Basisinfrastruktur, vierzehn (14) für Dienstkonten, zwölf (12) für ein Konto ohne Privilegien, vierundzwanzig (24) Zufallszeichen für ein nicht auswendig gelerntes Geheimnis und eine Passphrase aus mindestens sieben (7) Wörtern für den Schutz eines privaten Schlüssels.

A2.4.4 Für den Kunden entwickelte Anwendungen. Der Dienstleister schreibt vor, dass die Passwörter der Endnutzer in Form eines Hashwerts gespeichert werden, der durch eine speicherintensive Ableitungsfunktion vom Typ Argon2id erzeugt wird, mit einem zufälligen, für jedes Konto eindeutigen Salt von mindestens einhundertachtundzwanzig (128) Bit, unter Ausschluss jedes einfachen Hashwerts und jeder umkehrbaren Kodierung. Diese Regel gilt für jede vom Dienstleister entwickelte oder übernommene Anwendung. Erklärte Abweichung: Ihre Überprüfung Anwendung für Anwendung ist für bereits ausgelieferte Anwendungen nicht erfolgt.

A2.4.5 Notfallzugang. Auf den exponierten Maschinen ist ein von der Bastion unabhängiger Notfallzugangsmechanismus eingerichtet, dessen privater Schlüssel offline aufbewahrt wird; Systemcontainer sind davon durch dokumentierte Entscheidung ausgenommen und verfügen über einen Notfallweg über die Konsole der Virtualisierungsplattform. Jede Nutzung löst eine Erkennungsregel hoher Stufe und einen schriftlichen Bericht aus.

A2.5 Verwaltung von Geheimnissen

A2.5.1 Tresor. Betriebsgeheimnisse, also technische Passwörter, Token und Schlüssel, werden in einem selbst gehosteten Tresor aufbewahrt, der ihre einzige Quelle bildet, und den Anwendungen zur Laufzeit übergeben; kein Geheimnis wird in ein Code-Repository, in ein Container-Image oder in eine versionierte Konfigurationsdatei geschrieben.

A2.5.2 Offenlegung. Jedes Auftauchen eines Geheimnisses außerhalb des Tresors, auch intern und auch kurzzeitig, wird als Sicherheitsvorfall eingestuft: Das Geheimnis wird sofort erneuert, der Träger vernichtet und das Ereignis protokolliert; die Maskierung in einer Ausgabe befreit niemals von der Erneuerung.

A2.5.3 Hinterlegung. Die Schlüssel zur Verschlüsselung der Backups werden im Tresor hinterlegt, der vom Backup-Repository und dessen Sekundärstandort getrennt ist. Erklärte Abweichung: Der Schlüssel, der die Backups des Virtualisierungsclusters schützt, ist nicht hinterlegt; sein Verlust würde die entsprechenden Backups unwiederbringlich machen.

A2.6 Administration über die Bastion und Nachvollziehbarkeit

A2.6.1 Administrationsweg. Die Administration der gehosteten Systeme erfolgt über eine eigene Bastion, die außerhalb des von ihr administrierten Clusters gehostet wird, die Verbindungen unterbrechend weiterleitet und jede Sitzung aufzeichnet. Diese Bastion ist von keiner Adresse außerhalb der Zulassungsliste des Dienstleisters erreichbar; dies wurde von einem nicht auf dieser Liste stehenden fremden Host aus überprüft: Die Administrationsdienste antworten dort nicht. Die Administrationsflüsse sind durchgehend verschlüsselt und authentifiziert; es wird kein Administrationsprotokoll im Klartext verwendet.

A2.6.2 Parallele Wege. Erklärte Abweichung: Von den vom Dienstleister angegebenen Herkunftsorten bestehen noch nicht aufgezeichnete Direktverbindungen; die Vollständigkeit der Aufzeichnung der Administrationssitzungen ist nicht gewährleistet.

A2.6.3 Nachvollziehbarkeit. Authentifizierungen, Rechteerweiterungen und Änderungen der Zugangsschlüsseldateien werden protokolliert und zentral erfasst, mit einer Integritätsüberwachung der Dateien mit zugelassenen Schlüsseln in Echtzeit. Die Aufzeichnungen der Administrationssitzungen stellen für den Kunden einen Nachweis im Sinne von Artikel 28 Absatz 3 Buchstabe h der Verordnung (EU) 2016/679 dar. Die ihn betreffenden Auszüge werden ihm auf schriftliche Anfrage übermittelt, bereinigt um Elemente zu anderen Kunden, um Authentifizierungsgeheimnisse, um interne technische Adressen und um jedes Element, dessen Übergabe die Angriffsfläche des Informationssystems des Dienstleisters vergrößern würde; nimmt die Bereinigung dem Auszug seine Beweiskraft, ersetzt der Dienstleister ihn durch eine ausführliche Bescheinigung oder eine Einsichtnahme in einer Sitzung ohne Übergabe von Dokumenten. Die Personen, deren Sitzungen aufgezeichnet werden, werden über das Bestehen, die Zwecke und die Speicherdauer dieser Verarbeitung informiert. Erklärte Abweichung: Für diese Aufzeichnungen ist keine Speicherdauer festgelegt, und es wird keine Zusage zur Tiefe der Historie übernommen.

A2.6.4 Automatisierungen und Administrationsrechner. Die automatisierten Prozesse für Deployment, Backup und Überwachung verfügen jeweils über eine eigene Identität und einen eigenen Schlüssel, beschränkt auf die Herkunft der Automatisierung und, wenn der Befehl feststeht, auf diesen einen Befehl; kein menschlicher Schlüssel wird von einer Automatisierung verwendet. Erklärte Abweichung: Der Administrationsrechner ist kein dedizierter und gehärteter Rechner, er dient auch zum Surfen und zur Entwicklung, und seine Festplatte ist nicht verschlüsselt.

A2.7 Netzwerkabschottung und Filterung

A2.7.1 Abschottung. Die im Auftrag des Kunden gehosteten Systeme befinden sich in einem privaten Netzwerk ohne öffentliche Adressierung und sind nicht direkt aus dem Internet erreichbar: Ihre Veröffentlichung erfolgt über den Frontserver, der die verschlüsselte Verbindung terminiert, bekannte Erkundungspfade filtert und die Regeln zur Adressreputation anwendet. Es gilt der Grundsatz „eine Anwendung, eine Maschine“, ein Dienst pro Container. Die Abschottung zwischen den Umgebungen der verschiedenen Kunden beruht auf der fehlenden öffentlichen Adressierung der Maschinen des privaten Netzwerks, auf diesem Grundsatz und auf den in Ziffer A2.3.1 beschriebenen getrennten Zugriffsrollen.

A2.7.2 Filterung. Jede Maschine mit einer vom Dienstleister verwalteten öffentlichen Adresse hat auf Ebene der Virtualisierungsschicht eine Eingangsrichtlinie mit ausdrücklicher Ablehnung, deren Übereinstimmung mit den tatsächlich im Kernel geladenen Regeln überprüfbar ist und überprüft wird. Erklärte Abweichung: Das private Netzwerk ist nicht durch Filterregeln zwischen Gastsystemen segmentiert, und die lokale Firewall ist nicht einheitlich auf allen Hosts ausgerollt.

A2.7.3 Delegierter Bereich. Die Filterung auf Ebene der Virtualisierungsschicht obliegt dem Dienstleister auch dann, wenn der Kunde das Gastsystem selbst administriert. Erklärte Abweichung: Diese Filterung ist nicht im gesamten delegierten Bereich wirksam, und auf Ebene des vorgelagerten Netzbetreibers wird keine Filterung angewandt; für diese Maschinen gewährleistet der Dienstleister nicht, dass kein Anwendungs-, Administrations- oder Datenbankdienst direkt im Internet exponiert ist. Jede Änderung der Filterung, die die Verfügbarkeit eines Dienstes des Kunden beeinträchtigen kann, bedarf seiner vorherigen schriftlichen Zustimmung: Der Dienstleister übermittelt ihm zu diesem Zweck die Liste der geplanten Regeln, und der Kunde hat zehn (10) Arbeitstage Zeit, sie schriftlich anzunehmen oder abzulehnen; erfolgt keine Antwort innerhalb dieser Frist, gilt die Zustimmung als erteilt. Bei Ablehnung bleibt die Abweichung bestehen, der Dienstleister hält den Grund im Verzeichnis der Ausnahmen nach Ziffer A2.2.4 fest, und der Kunde trägt das verbleibende Expositionsrisiko, über das er nach eigener Erklärung informiert wurde. Abweichend davon kann der Dienstleister ohne vorherige Zustimmung eine Filterregel anwenden, die durch einen laufenden Angriff oder durch eine aktiv ausgenutzte Schwachstelle erforderlich wird, nach Maßgabe von Ziffer A2.13.2.

A2.7.4 Anwendungsfilterung und Formulare. Eine im autonomen Modus betriebene Intrusion-Detection-Engine speist die Sperrung bösartiger Herkunftsadressen; sie läuft auf der Infrastruktur des Dienstleisters und sendet keine Signale an Dritte. Auf den Frontservern ist eine Web Application Firewall eingesetzt; erklärte Abweichung: Sie arbeitet auf einem Teil von ihnen im Sperrmodus und auf den übrigen nur im Erkennungsmodus, aufgrund einer datierten, im Verzeichnis der Ausnahmen eingetragenen Entscheidung. Die öffentlichen Formulare der vom Dienstleister entwickelten oder betriebenen Websites sind durch einen selbst gehosteten Mechanismus gegen automatisierten Missbrauch geschützt, ohne Cookies und ohne Übermittlung außerhalb der Europäischen Union.

A2.8 Verschlüsselung bei der Übertragung und im Ruhezustand

A2.8.1 Bei der Übertragung. Alle im Auftrag des Kunden veröffentlichten Dienste sind ausschließlich über einen verschlüsselten Kanal erreichbar, mindestens in der Version 1.2 des Sicherheitsprotokolls der Transportschicht (TLS), mit gültigen, automatisch erneuerten Zertifikaten; die Administrationsflüsse sind durchgehend verschlüsselt und authentifiziert.

A2.8.2 Namensauflösung. Erklärte Abweichung: Die kryptografische Signatur der Domainnamen-Zonen, die Beschränkung der Zertifizierungsstellen und die strikte Sicherheitsrichtlinie für den Transport von E-Mails sind nicht aktiviert; diese Ausnahme ist mit dem Risiko der Nichtverfügbarkeit infolge einer verwaisten Signatur begründet und im Verzeichnis der Ausnahmen eingetragen.

A2.8.3 Backups. Die Backups der Daten werden vom Dienstleister vor ihrer Übertragung an das Backup-Repository und an dessen Sekundärkopie verschlüsselt; die Schlüssel werden von keinem Betreiber eines Repositorys gehalten.

A2.8.4 Produktivvolumes. Erklärte Abweichung: Die Speichervolumes der Produktivsysteme und des Administrationsrechners sind im Ruhezustand nicht verschlüsselt. Das Risiko wird gemindert durch die in Ziffer A2.7 beschriebene Abschottung, durch die Filterung der exponierten Systeme, durch die Verschlüsselung der Backups und durch die physische Sicherheit der Datenträger, die OVHcloud SAS, 2 rue Kellermann, 59100 Roubaix, France (RCS Lille Métropole 424 761 419) in ihren in der Europäischen Union gelegenen Rechenzentren gewährleistet.

A2.9 Protokollierung, Überwachung und Erkennung

A2.9.1 Erfassung. Der Dienstleister erfasst die Sicherheitsprotokolle aller von ihm administrierten Systeme und führt sie zentral zusammen: Authentifizierungen, Rechteerweiterungen, Administrationshandlungen, Zugriffe auf den Frontserver, Ereignisse des Identitätsanbieters und der Virtualisierungsplattform. Die Erfassung erfolgt durch einen auf jedem Host installierten Agenten, dessen Installation Voraussetzung für die Produktivsetzung ist, und eine Integritätsüberwachung in Echtzeit erstreckt sich auf die Zugangsschlüsseldateien.

A2.9.2 Schutz. Die Protokolle werden getrennt vom Hauptsystem auf einer eigenen, abgeschotteten Maschine aufbewahrt, deren Erfassungsports auf benannte Quellen beschränkt sind; die Agenten verfügen nur über Schreibrechte, und kein Anwendungskonto kann ein Protokoll löschen. Kein Geheimnis, kein Authentifizierungselement und keine Daten im Sinne von Artikel 9 der Verordnung (EU) 2016/679 werden in ein Protokoll geschrieben; dieses enthält die Referenz des betreffenden Datums und nicht dessen Inhalt.

A2.9.3 Speicherfristen. Es gilt folgende Richtlinie: zentral erfasste Sicherheitsereignisse, zwölf (12) Monate; lokale Systemprotokolle, sechs (6) Monate; Zugriffsprotokolle des Frontservers, etwa vierzehn (14) Tage, je nach konfigurierter Rotation. Diese Fristen liegen innerhalb der von der Commission nationale de l’informatique et des libertés für die Protokollierung empfohlenen Spanne von sechs Monaten bis zu einem Jahr. Diese Richtlinie wird seit dem 2. September 2026 angewandt, und die tatsächlich verfügbare Tiefe der Historie wächst seit diesem Datum: Für frühere Zeiträume wird keine Zusage zur Tiefe übernommen, und der Dienstleister teilt auf Anfrage die tatsächlich verfügbare Tiefe mit. Protokolle, die sich auf eine Datenschutzverletzung oder einen Rechtsstreit beziehen, werden von der Bereinigung ausgenommen und fünf (5) Jahre ab Abschluss des Vorgangs aufbewahrt.

A2.9.4 Überwachung und Erkennung. Der Dienstleister gewährleistet eine ständige automatisierte Überwachung der Verfügbarkeit der gehosteten Systeme mithilfe von Sonden und Metrikkollektoren, mit automatischer Benachrichtigung operativer Kontaktstellen. Er betreibt eine Erkennungsplattform, die alle von ihm administrierten Hosts abdeckt und über Korrelationsregeln verfügt, die insbesondere der Nutzung des Notfallzugangs und der Änderung der Zugangsschlüsseldateien gewidmet sind.

A2.9.5 Warnmeldung. Sicherheitswarnungen hoher Schwere werden automatisch an einen Benachrichtigungskanal der technischen Bearbeiter des Dienstleisters weitergeleitet, und kein Benachrichtigungsausgang kann ohne schriftlich festgelegtes Reaktivierungsdatum deaktiviert werden. Diese technische Weiterleitung stellt weder eine Zusage einer Warnfrist noch eine Zusage menschlicher Bearbeitung noch eine Rufbereitschaft dar. Der Dienstleister beansprucht keine ununterbrochene menschliche Überwachung: Die Tragweite seiner Meldezusage ist die in Ziffer 14.2 des Auftragsverarbeitungsvertrags festgelegte. Auszüge aus den den Kunden betreffenden Protokollen werden ihm auf schriftliche Anfrage übermittelt, ebenso den Aufsichtsbehörden und den Teams zur Reaktion auf Sicherheitsvorfälle im Rahmen einer Meldung oder einer behördlichen Anordnung.

A2.10 Schwachstellen- und Patch-Management

A2.10.1 Beobachtung und Nachverfolgung. Der Dienstleister verfolgt an Arbeitstagen täglich die Hinweise der zuständigen nationalen Behörde und die Veröffentlichungen der Hersteller der von ihm betriebenen Komponenten. Die administrierten Hosts sind in einem Werkzeug zur Bestandsverwaltung erfasst, das den Stand der Sicherheitsupdates meldet, einen regelmäßigen Bericht erstellt, jeden nicht mehr meldenden Host anzeigt und warnt, wenn ein Sicherheitsupdate aussteht.

A2.10.2 Fristen für die Behebung. Der Dienstleister spielt Sicherheitsupdates innerhalb der folgenden Fristen ein, gerechnet ab der Bereitstellung des Updates durch den Hersteller oder ab der Veröffentlichung des Hinweises der nationalen Behörde, falls diese früher erfolgt.

Der effektive Schweregrad bestimmt sich nach dem inhärenten Schweregrad, der bei beobachteter Ausnutzung oder hoher Ausnutzungswahrscheinlichkeit um eine Stufe angehoben und nach der tatsächlichen Exposition des Systems gewichtet wird. Identitätsanbieter, Bastion, Tresor für Geheimnisse und Frontserver unterliegen von vornherein der Regelung für aus dem Internet erreichbare Systeme, wobei die anwendbare Frist unabhängig vom Schweregrad auf sieben (7) Tage begrenzt ist, ohne dass diese Obergrenze eine kürzere Frist verlängern kann. Diese Fristen gelten für Schwachstellen, die dem Dienstleister ab dem Wirksamkeitsdatum des Vertrags bekannt werden; früher festgestellte Schwachstellen, die im Wesentlichen Komponenten betreffen, für die vorgelagert kein Update veröffentlicht ist, sind Gegenstand eines Abbauplans, dessen Fortschritt dem Kunden auf schriftliche Anfrage mitgeteilt wird.

A2.10.3 Fehlendes Update. Ist vorgelagert kein Update veröffentlicht, setzt der Dienstleister unverzüglich eine Maßnahme zur Risikominderung um, wenn die Schwachstelle ausgenutzt wird, und hält das verbleibende Risiko schriftlich im Verzeichnis der Ausnahmen fest. Der Dienstleister gewährleistet nicht die Abwesenheit von Schwachstellen in den von ihm eingesetzten Komponenten Dritter.

A2.10.4 Lieferkette. Installierte Updates und Werkzeuge stammen ausschließlich aus den offiziellen Repositorys der Hersteller, mit Prüfung der Signaturen, oder aus einer offiziellen Veröffentlichung, deren kryptografischer Hashwert geprüft wird; kein Werkzeug wird durch direkte Ausführung eines heruntergeladenen Skripts oder durch Hinzufügen eines nicht signierten Repositorys Dritter installiert.

A2.10.5 Delegierter Bereich. Der Dienstleister meldet dem Kunden innerhalb von drei (3) Arbeitstagen schriftlich jede ihm bekannt gewordene Schwachstelle, die ein vom Kunden administriertes Gastsystem betrifft, mit der empfohlenen Maßnahme, und wendet gegebenenfalls eine Ausgleichsmaßnahme auf Ebene der Infrastruktur an. Er übernimmt innerhalb dieses Systems weder die Überwachung noch die Nachverfolgung der Updates noch die Erkennung von Vorfällen.

A2.11 Härtung der Systeme und physische Sicherheit

A2.11.1 Basis. Die gehosteten Systeme beruhen auf einer einheitlichen Basis, die durch Automatisierung bereitgestellt und gepflegt wird; jede Maschine außerhalb dieser Basis stellt eine dokumentierte Ausnahme dar. Der Dienst für den Fernzugriff ist durch eine einheitliche, in der gesamten Serverflotte ausgerollte Konfigurationsdatei gehärtet, die die Authentifizierung per Passwort und die direkte Anmeldung mit dem Systemkonto per Passwort ablehnt.

A2.11.2 Container. Die Ausführungsregeln sehen ein eigenes Netzwerk pro Anwendung vor, das Verbot, ein sensibles Verzeichnis des Hosts einzubinden, die Beschränkung der Capabilities, ein schreibgeschütztes Wurzeldateisystem, wenn die Anwendung dies zulässt, Speicher- und Prozessorgrenzen in absoluten Werten und niemals in Prozent sowie exportierte und begrenzte Protokolle. Erklärte Abweichung: Diese Regeln sind nicht im gesamten Bestand flächendeckend umgesetzt, und in der Produktion bestehen noch veränderliche Image-Tags.

A2.11.3 Physische und umgebungsbezogene Sicherheit. Der Dienstleister betreibt kein eigenes Rechenzentrum. Die gehosteten Systeme laufen auf Servern in den Rechenzentren der OVHcloud SAS, 2 rue Kellermann, 59100 Roubaix, France (RCS Lille Métropole 424 761 419) in Straßburg, Roubaix und Gravelines (Frankreich): Die physische Zugangskontrolle zu den Räumlichkeiten, die Standortsicherheit, die Stromversorgung, die Kühlung und die Entsorgung der Datenträger obliegen diesem Hoster, dessen Zusagen in seinen eigenen Bedingungen enthalten sind und dem Kunden auf Anfrage mitgeteilt werden. Der Standort, an dem die Sekundärkopie der Backups erstellt wird, steht unter der ausschließlichen Kontrolle des Dienstleisters in Frankreich und erhält nur verschlüsselte Daten, deren Schlüssel allein der Dienstleister hält; er befindet sich in einem verschlossenen Raum, zu dem nur namentlich befugte Personen Zugang haben, der Speicherträger dort ist ausschließlich diesem Zweck gewidmet, und kein Dienst ist dort im Internet exponiert. Die Parteien erkennen ausdrücklich an, dass dieser Standort kein professionelles Rechenzentrum ist und weder über eine Notstromversorgung noch über eine Brandmelde- und Löschanlage noch über eine protokollierte physische Zugangskontrolle verfügt; das entsprechende Risiko wird gemindert durch die Verschlüsselung der Daten, durch den lediglich sekundären Charakter dieser Kopie und durch die Aufbewahrung der primären Kopie in einem Rechenzentrum der OVHcloud SAS, 2 rue Kellermann, 59100 Roubaix, France (RCS Lille Métropole 424 761 419). Erklärte Abweichung: Dieser Standort ist nicht an die Erkennungsplattform des Bestands angebunden.

A2.12 Backups, Wiederherstellung und Kontinuität

A2.12.1 Häufigkeit und Verschlüsselung. Alle gehosteten Systeme werden täglich automatisiert außerhalb der Geschäftszeiten gesichert; für Datenbanken wird vor dem Image-Backup ein konsistenter Anwendungsexport erstellt. Die Backups werden vor der Übertragung verschlüsselt, und der Betreiber des Repositorys verfügt über keinen Entschlüsselungsschlüssel. Speicherort: Backups werden vor der Übertragung an der Quelle verschlüsselt; die primäre Kopie wird in der Europäischen Union (Deutschland) und eine Spiegelkopie in Frankreich aufbewahrt.

A2.12.2 Relative Unveränderlichkeit. Die Produktivsysteme verfügen über Schreib- und Leserechte für das Backup-Repository, unter Ausschluss jedes Löschrechts; diese Ablehnung wurde unter realen Bedingungen überprüft: Die Kompromittierung eines Produktivsystems ermöglicht es daher nicht, seine eigenen Backups zu löschen. Die Sekundärkopie wird durch Abruf auf Initiative des Sekundärstandorts erstellt, ohne dass ein Zugriff vom Repository auf diesen Standort möglich ist. Erklärte Abweichung: Es wird weder eine Offline-Kopie noch eine unveränderliche Kopie erstellt.

A2.12.3 Überprüfung. Die Integrität der Backups wird durch eine tägliche automatisierte Kontrolle überprüft; die Frist für die Erkennung einer Veränderung liegt für einen neu erstellten Backup-Satz unter vierundzwanzig (24) Stunden; die Bereinigungen sind automatisiert. Die Berichte werden dem Kunden auf schriftliche Anfrage übermittelt.

A2.12.4 Aufbewahrung. Für die Produktivsysteme werden mindestens sieben (7) tägliche, zwei (2) wöchentliche und ein (1) monatliches Backup aufbewahrt, also eine Tiefe von etwa fünf (5) Wochen.

A2.12.5 Wiederherstellung. Die Wiederherstellung erfolgt in eine neue Umgebung, ohne die ursprüngliche Umgebung zu überschreiben, um vor der Wiederinbetriebnahme eine kontradiktorische Kontrolle zu ermöglichen. Eine vollständige Wiederherstellung einer virtuellen Maschine wurde am 7. August 2026 in zweihunderteinundvierzig (241) Sekunden erfolgreich durchgeführt, ebenso eine Wiederherstellung im Dateimodus, bei der der Hashwert des wiederhergestellten Inhalts mit dem Original übereinstimmte. Diese Tatsache wird als Nachweis der Leistungsfähigkeit erwähnt und stellt keine Zusage einer Wiederherstellungsfrist dar. Erklärte Abweichungen: Der Dienstleister übernimmt kein Programm regelmäßiger Wiederherstellungstests, und eine Wiederherstellung aus der Sekundärkopie wurde nicht erprobt.

A2.12.6 Notfallisolierung. Bei Verdacht auf eine Kompromittierung wendet der Dienstleister ein schriftliches Verfahren zur Isolierung des Backup-Systems an: Aussetzung der Synchronisierungen, Widerruf der Repository-Token der verdächtigen Quellen, Verschärfung der Filterung des Repositorys und Aussetzung der Bereinigungen. Erklärte Abweichung: Dieses Verfahren wurde nicht in einer Übung erprobt.

A2.12.7 Redundanz und Kontinuität. Die gehosteten Systeme laufen auf der in den besonderen Vertragsbedingungen beschriebenen Infrastruktur. Sehen diese einen über mehrere physische Server verteilten Virtualisierungscluster vor, werden die Ressourcen eines ausgefallenen Servers auf einem verbleibenden Server anhand ihrer regelmäßigen Replik neu gestartet; fehlt eine solche Bestimmung, wird keine Hardware-Redundanz bereitgestellt, und die Wiederaufnahme erfolgt durch Wiederherstellung eines Backups. Die Parteien erkennen ausdrücklich an, dass dieser Mechanismus eine automatisierte Wiederaufnahme mit Unterbrechung und keine unterbrechungsfreie Dienstkontinuität darstellt: Es wird keine Garantie für eine transparente Umschaltung, eine Wiederaufnahme ohne Unterbrechung oder eine aktive Lastverteilung zwischen mehreren Standorten gewährt. Der Dienstleister gewährleistet keine bezifferte Wiederherstellungsfrist und übernimmt kein Wiederherstellungsziel und kein Ziel für den maximal tolerierbaren Datenverlust außerhalb eines zu diesem Zweck unterzeichneten Anhangs zum Hauptvertrag. Erklärte Abweichungen: Es wurde kein Umschalttest durchgeführt; es gibt keinen formalisierten Plan zur Aufrechterhaltung und Wiederherstellung des Geschäftsbetriebs und kein beziffertes Ziel für den maximal tolerierbaren Datenverlust oder die maximal tolerierbare Ausfallzeit.

A2.12.8 Abhängigkeiten. Erklärte Abweichung: Rechenleistung, Namensauflösung, Registrierung der Domainnamen und ein Teil der Backups beruhen auf einem einzigen Infrastrukturanbieter, OVHcloud SAS, 2 rue Kellermann, 59100 Roubaix, France (RCS Lille Métropole 424 761 419), und der E-Mail-Zustellweg des Dienstleisters beruht ebenfalls auf einem einzigen Anbieter.

A2.12.9 Nichtverfügbarkeit des Dienstleisters. Der Dienstleister hält offline und außerhalb seines Informationssystems eine Wiederanlaufakte vor, die die Kontaktdaten seiner kritischen Anbieter, den Ablageort der Mittel zur Entschlüsselung der Backups, das Verfahren für den Notfallzugang, die Reihenfolge der Wiederherstellung der Dienste und die Liste der Kundenkontakte enthält. Er benennt einen Ersatzbearbeiter durch eine Vollmacht (délégation de pouvoirs), die durch schriftlichen und datierten Beschluss des Präsidenten der Gesellschaft erteilt wird, der deren Umfang festlegt (Zugang ausschließlich zu den betroffenen Umgebungen, Sicherungsmaßnahmen und Kommunikation mit dem Kunden, beschränkt auf die zur Erhaltung und Rückgabe der Daten und Konfigurationen erforderlichen Elemente) sowie ihre Aktivierungsbedingungen, an erster Stelle die Handlungsunfähigkeit des Dienstleisters oder seine dauerhafte Nichtverfügbarkeit. Da sie von der Gesellschaft und nicht von der Person ihres Präsidenten ausgeht, besteht diese Vollmacht auch bei dessen Verhinderung fort. Der Kunde wird darüber informiert, und der Beschluss wird ihm auf schriftliche Anfrage mitgeteilt. Der Dienstleister übergibt dem Kunden in einem versiegelten Umschlag oder durch Hinterlegung in einem zwischen den Parteien vereinbarten Safe ausschließlich die Elemente, die zur Wiederherstellung der Daten des Kunden und zur Wiederaufnahme der ihm eigenen Dienste erforderlich sind: Notfallzugangsmittel zu den ihm gewidmeten gehosteten Systemen, Mittel zur Entschlüsselung der ihn betreffenden Backups, Transfercodes seiner Domainnamen und private Schlüssel seiner Zertifikate. Keine Kennung, kein Token und kein Zugangsmittel zum Konto des Dienstleisters bei der OVHcloud SAS, 2 rue Kellermann, 59100 Roubaix, France (RCS Lille Métropole 424 761 419) oder zu einem gemeinsam genutzten System, das Daten anderer Kunden hostet, wird dem Kunden übergeben: Der Zugang zur vorgelagerten Infrastruktur wird gegebenenfalls vom Ersatzbearbeiter ausgeübt. Diese Hinterlegung wird bei jeder wesentlichen Änderung der betreffenden Zugänge aktualisiert.

A2.13 Entwicklung, Software-Lieferkette und Änderungsmanagement

A2.13.1 Auslieferungskette. Der Quellcode der vom Dienstleister entwickelten Anwendungen liegt in einer von ihm selbst gehosteten Code-Plattform (Forge). Die Images werden von einem Runner der kontinuierlichen Integration erstellt, der keinen Zugangsschlüssel zu den Produktivsystemen besitzt: Er veröffentlicht das Image in einer internen Registry und löst einen Deployment-Controller durch einen eingeschränkten Befehl aus. Das Deployment bezieht sich auf eine genaue Versionsreferenz, niemals auf einen Branch, und gilt erst nach einer blockierenden Prüfung der Funktionsfähigkeit des Dienstes als erfolgreich. Erklärte Abweichung: Der Dienstleister beansprucht weder ein verpflichtendes Code-Review noch eine automatisierte Sicherheitsanalyse des Codes noch die systematische Bereitstellung eines Komponenteninventars.

A2.13.2 Vorherige Bestätigung und Information des Kunden. Jeder Eingriff, der ein gehostetes System des Kunden oder eine für ihn bestimmte Anwendung verändert, setzt eine ausdrückliche und vorherige menschliche Bestätigung voraus. Diese Bestätigung wird von einer Person erteilt, niemals von einer Automatisierung, niemals aus Schweigen abgeleitet, bezieht sich auf eine benannte und abgegrenzte Änderung und wird mit ihrem Zeitstempel festgehalten. Sie ist die eines befugten Bearbeiters des Dienstleisters und ist weder mit der Information des Kunden noch mit dessen vorheriger Zustimmung gleichzusetzen, die nur in den Fällen erforderlich ist, in denen dieser Anhang oder der Vertrag dies ausdrücklich vorsieht. Der Kunde wird mindestens fünf (5) Arbeitstage vor jeder grundlegenden Änderung, die seinen Dienst betrifft, informiert, unter Angabe der Art der Änderung, des Wartungsfensters, der erwarteten Unterbrechung und der Kontaktstelle. Abweichend davon können das Einspielen eines Sicherheitsupdates innerhalb der Fristen von Ziffer A2.10.2, die Umsetzung einer Maßnahme zur Risikominderung im Sinne von Ziffer A2.10.3 und die Ausführung einer Sicherungsmaßnahme ohne vorherige Bestätigung oder Information erfolgen, wenn die Dringlichkeit dies erfordert; der Kunde wird dann spätestens am folgenden Arbeitstag darüber informiert, mit dem Ergebnis des Eingriffs und dem Grund für die Abweichung.

A2.13.3 Rücknahme und Nachvollziehbarkeit. Keine Änderung wird ausgeführt, ohne dass ihre Rücknahmemethode, ihr Rücksetzpunkt und ihre geschätzte Dauer vorher bestimmt und überprüft wurden. Jeder grundlegenden Änderung geht ein Backup voraus, dessen Erfolg überprüft wird. Schlägt bei einer Änderung die Prüfung der Funktionsfähigkeit fehl, wird sie sofort zurückgenommen, ohne Korrektur nach vorn auf dem Produktivsystem. Der Dienstleister hält jeden Eingriff mit Datum, Gegenstand, Grund, den betroffenen Systemen, der Rücknahmemethode, der eingeholten Bestätigung und dem Ergebnis fest; die den Kunden betreffenden Einträge werden ihm auf schriftliche Anfrage übermittelt.

A2.13.4 Testdaten. Keine Produktivdaten, insbesondere keine Daten im Sinne dieses Anhangs, werden in Entwicklungs-, Test- oder Vorproduktionsumgebungen verwendet: Testdatensätze sind synthetisch oder anonymisiert. Erklärte Abweichung: Der Dienstleister verfügt über keine vollständige Vorproduktionsumgebung; als Ausgleichsmaßnahme werden Tests auf einem aus einem Backup wiederhergestellten System durchgeführt.

Behobene Abweichung. Eine Arbeitskopie einer für einen Kunden betriebenen Datenbank bestand außerhalb der Produktivumgebung auf einem Administrationsrechner. Sie blieb durchgehend verschlüsselt, und es wurde keine Extraktion im Klartext vorgenommen. Der Dienst und seine Volumes wurden gelöscht, und das Fehlen jeder weiteren Kopie wurde überprüft. Es gilt nunmehr die Regel des ersten Absatzes dieser Ziffer: Entwicklungs-, Abstimmungs- und Testumgebungen werden mit Datensätzen aufgebaut, die keine realen Daten enthalten.

A2.13.5 Komponenten und Kryptografie. Die auf den Websites des Kunden eingesetzten Mechanismen zum Schutz vor Formularmissbrauch und zur Reichweitenmessung sind selbst gehostet, kommen ohne Cookies aus und führen zu keiner Übermittlung außerhalb der Europäischen Union; die Reichweitenmessung anonymisiert die Verbindungsadresse. Die Reichweitendaten der verschiedenen Websites werden nicht abgeglichen, und jeder Herausgeber hat nur Zugang zu den Statistiken seiner eigenen Website, unter Ausschluss derjenigen jeder anderen. Der Dienstleister betreibt diese Messung als Auftragsverarbeiter, auf dokumentierte Weisung des Kunden und ausschließlich in dessen Auftrag. Der Kunde bleibt Verantwortlicher für die auf seiner Website durchgeführte Reichweitenmessung: Es obliegt ihm, im Hinblick auf Artikel 82 des Gesetzes Nr. 78-17 vom 6. Januar 1978 und die Leitlinien der Commission nationale de l’informatique et des libertés zu beurteilen, ob die gewählte Konfiguration unter die Befreiung von der Einwilligung fällt, und dementsprechend die Information der betroffenen Personen sowie gegebenenfalls die Einholung ihrer Einwilligung sicherzustellen. Der Dienstleister gewährleistet nicht, dass die gelieferte Konfiguration von der Einwilligung befreit ist; er teilt dem Kunden auf schriftliche Anfrage die tatsächliche Konfiguration, die erhobenen Daten und deren Speicherdauer mit. Kryptografische Mechanismen werden niemals neu implementiert; es werden ausschließlich anerkannte und gepflegte Bibliotheken verwendet.

A2.13.6 Datenschutz durch Technikgestaltung. Jede vom Dienstleister im Auftrag des Kunden entwickelte oder übernommene Anwendung ist vor ihrer Produktivsetzung Gegenstand einer Beschreibung des Wegs der von ihr verarbeiteten Daten und einer Beschränkung der erhobenen Felder auf das unbedingt Erforderliche im Sinne von Artikel 5 Absatz 1 Buchstabe c der Verordnung (EU) 2016/679. Der Dienstleister setzt die ihm vom Kunden mitgeteilten Speicherfristen technisch durch eine programmierte Bereinigung um und sieht die Möglichkeit vor, einem Antrag auf Ausübung der Rechte ohne manuellen Eingriff in die Datenbank nachzukommen.

A2.14 Lebenszyklus der Systeme, Außerbetriebnahme und Löschung

A2.14.1 Inbetriebnahme. Kein System geht in Produktion, ohne an alle verpflichtenden Vorkehrungen des Dienstleisters angebunden worden zu sein: Bastion, Konfigurationsautomatisierung, Erfassung von Protokollen, Patch-Management, Metrikerfassung, Verfügbarkeitsüberwachung mit Benachrichtigung, Backup, interne Namensauflösung und Inventardokumentation. Die Basis einer neuen Maschine sieht die Hinterlegung der Zugangsschlüssel auf einem nicht privilegierten Konto, die Sperrung des Passworts des Systemkontos und die Ablage des Konsolengeheimnisses im Tresor vor.

A2.14.2 Außerbetriebnahme. Die Außerbetriebnahme eines Systems umfasst die Beendigung der Veröffentlichung, die Einstellung der Überwachung, die Schließung der Zugänge, die Vernichtung des Systems und die Löschung der verbleibenden Spuren, gefolgt von einer Kontrolle des Verschwindens und einem datierten Bericht. Die Entscheidung über den Verbleib der Backups wird ausdrücklich und schriftlich getroffen; das Fehlen einer Entscheidung gilt als Aufbewahrung. Erklärte Abweichung: Es bestehen noch Restdaten früher außer Betrieb genommener Systeme; die Datenträger der Server stehen im Übrigen unter der physischen Kontrolle der OVHcloud SAS, 2 rue Kellermann, 59100 Roubaix, France (RCS Lille Métropole 424 761 419) und unterliegen deren Entsorgungsverfahren.

A2.14.3 Vertragsende. Nach Abschluss der Leistung, gleich aus welchem Grund, teilt der Kunde dem Dienstleister mit, ob er die Rückgabe sämtlicher ihn betreffenden Daten oder deren Vernichtung wählt, gemäß Artikel 28 Absatz 3 Buchstabe g der Verordnung (EU) 2016/679 und nach den im AVV vorgesehenen Modalitäten und Fristen. Die Rückgabe erfolgt in einem nutzbaren Format; die Löschung im aktiven Bestand und auf den Produktivsystemen erfolgt innerhalb von dreißig (30) Tagen ab der Annahme des Rückgabeprotokolls beziehungsweise ab dem Eingang der Weisung zur Vernichtung. Backup-Kopien werden weder verändert noch wird aus ihnen extrahiert, um ihre Integrität zu wahren; sie verschwinden durch die automatische Bereinigung mit Ablauf der geltenden Aufbewahrungsfrist, die zwölf (12) Monate ab der Löschung im aktiven Bestand nicht überschreiten darf. Führt eine Wiederherstellung in diesem Zeitraum ein Datum wieder ein, dessen Löschung verlangt worden war, führt der Dienstleister die Löschung unverzüglich erneut durch. Es wird eine datierte Vernichtungsbescheinigung ausgestellt, die den Umfang, das Datum der Löschung in der Produktion, das Ablaufdatum des letzten Backups und das angewandte Verfahren angibt.

A2.15 Unterauftragsverarbeiter, Anbieter und Speicherort der Daten

A2.15.1 Unterauftragsverarbeiter. Die Liste der Unterauftragsverarbeiter ist in einem Anhang des AVV enthalten, mit Angabe der übertragenen Tätigkeit, des Landes der Verarbeitung und der bei einer Übermittlung außerhalb der Europäischen Union anwendbaren Garantie für jeden von ihnen. Der Dienstleister informiert den Kunden schriftlich über jede Hinzuziehung oder Ersetzung so bald wie möglich, in jedem Fall aber mindestens zehn (10) Tage vor ihrer Umsetzung; der Kunde hat ab dieser Information zehn (10) Tage Zeit, schriftlich einen begründeten Einspruch zu erheben, der sich auf Erwägungen des Datenschutzes stützt. Diese Frist entspricht der kürzesten Vorankündigungsfrist, die der Dienstleister selbst von seinen eigenen Anbietern erhält. Im Fall eines Einspruchs suchen die Parteien nach Treu und Glauben gemeinsam nach einer Alternative; dauert die Uneinigkeit an, kann der Kunde die betroffene Leistung ohne Kosten und ohne Entschädigung für eine der Parteien kündigen, allein vorbehaltlich der Bezahlung der erbrachten Leistungen. Macht ein Ausfall, eine Sicherheitslücke oder die Geschäftsaufgabe eines Unterauftragsverarbeiters die Einhaltung der Vorankündigungsfrist unmöglich, kann der Dienstleister ihn durch einen Dienstleister mit mindestens gleichwertigen Garantien ersetzen und informiert den Kunden unverzüglich unter Angabe der Gründe für die Dringlichkeit; das Einspruchsrecht wird dann nachträglich ausgeübt. Der Dienstleister haftet in vollem Umfang für die Erfüllung der Pflichten des Unterauftragsverarbeiters.

A2.15.2 Speicherort. Die Daten werden innerhalb der Europäischen Union nach folgender Aufteilung gehostet und gesichert.

Der Kunde erkennt an, darüber informiert worden zu sein, dass sich die primäre Backup-Kopie in Deutschland und nicht in Frankreich befindet, und verpflichtet sich, diese Information in seine eigene Datenschutzerklärung zu übernehmen, wenn er dort den Speicherort des Hostings angibt. Jede Änderung des Speicherorts wird dem Kunden mit einer Vorankündigungsfrist von dreißig (30) Tagen mitgeteilt.

A2.15.3 Übermittlungen außerhalb der Europäischen Union. Die im Rahmen des Hostings und des Backups verarbeiteten Daten werden ausschließlich im Gebiet der Europäischen Union gehostet und aufbewahrt: Durch das Hosting oder das Backup findet keine Übermittlung außerhalb der Union statt. Dagegen umfassen das in Ziffer A2.15.4 genannte Hilfswerkzeug für den Betrieb und, sofern die Leistung dies umfasst, die Ausführung von Inferenzaufrufen bei einem außerhalb der Union niedergelassenen Anbieter eine Übermittlung. Diese Dienste sind in einem Anhang des AVV abschließend aufgeführt, der für jeden die übermittelten Datenkategorien, das Bestimmungsland und die anwendbare geeignete Garantie angibt, also einen Angemessenheitsbeschluss im Sinne von Artikel 45 der Verordnung (EU) 2016/679 oder Standardvertragsklauseln gemäß dem Durchführungsbeschluss (EU) 2021/914 der Kommission, ergänzt durch die erforderlichen zusätzlichen Maßnahmen. Keine neue Übermittlung von Daten wird ohne vorherige Information des Kunden aufgenommen.

A2.15.4 Hilfswerkzeug für den Betrieb. Der Dienstleister weist den Kunden ausdrücklich darauf hin, dass ein im Anhang des AVV bezeichnetes automatisiertes Hilfswerkzeug zur Unterstützung von Betrieb und Diagnose eingesetzt wird: Die ihm übermittelten Elemente beschränken sich auf Konfigurationselemente und auf Auszüge aus Protokollen und Dateien, die für den laufenden Eingriff unbedingt erforderlich sind und Verbindungsadressen und technische Kennungen enthalten können. Der Dienstleister unterlässt es, ihm Authentifizierungsgeheimnisse und kryptografische Schlüssel zu übermitteln und ihm Daten über das hinaus zu übermitteln, was der bearbeitete Vorfall erfordert; er minimiert die übermittelten Elemente, insbesondere durch Kürzung der Protokolle und Maskierung direkter Kennungen, wenn die Diagnose dies zulässt. Jede Änderung an einem gehosteten System setzt die in Ziffer A2.13.2 vorgesehene vorherige menschliche Bestätigung voraus. Der Kunde kann durch schriftliche Weisung seine Systeme vom Einsatzbereich dieses Werkzeugs ausschließen; der Dienstleister setzt dies innerhalb von dreißig (30) Tagen um und informiert ihn über die Auswirkungen dieses Ausschlusses auf die Diagnosefristen. Erklärte Abweichung: Das technische Konto dieses Werkzeugs verfügt über weitreichende Rechte auf der Basisinfrastruktur des Dienstleisters, und der Umfang des Zugangstokens zum Infrastrukturanbieter ist nicht beschränkt.

A2.16 Personal und Vertraulichkeit

A2.16.1 Jede zum Zugriff auf die Daten befugte Person unterliegt einer vertraglichen Vertraulichkeitspflicht, die schriftlich und vor jedem Zugriff unterzeichnet wird, in Anwendung von Artikel 28 Absatz 3 Buchstabe b der Verordnung (EU) 2016/679. Die Liste der befugten Personen wird dem Kunden auf schriftliche Anfrage mitgeteilt.

A2.16.2 Erklärte Abweichung: Der Dienstleister verfügt weder über eine unterzeichnete Richtlinie zur Nutzung der IT-Mittel noch über ein protokolliertes Sensibilisierungsprogramm noch über Krisenübungen. Die Bearbeiter bleiben zur Verschwiegenheit verpflichtet aufgrund des Vertrags, der Bestimmungen der Allgemeinen Geschäftsbedingungen über Vertraulichkeit und Geschäftsgeheimnisse und, was die Geschäftsleiter betrifft, ihrer Treuepflicht.

A2.17 Management von Vorfällen und Datenschutzverletzungen

A2.17.1 Einstufung. Jedes erkannte Sicherheitsereignis wird vom Dienstleister eingestuft, der feststellt, ob es eine Verletzung des Schutzes personenbezogener Daten im Sinne von Artikel 4 Nummer 12 der Verordnung (EU) 2016/679 darstellt.

A2.17.2 Meldung an den Kunden. Der Dienstleister meldet dem Kunden jede ihm bekannt gewordene Verletzung des Schutzes von Daten ohne unangemessene Verzögerung und spätestens achtundvierzig (48) Stunden, einschließlich arbeitsfreier Tage, ab seiner Kenntnisnahme per E-Mail an die vom Kunden benannte Kontaktstelle und teilt ihm die in Artikel 33 Absatz 3 der Verordnung (EU) 2016/679 vorgesehenen Informationen mit, soweit sie verfügbar sind. Als Kenntnisnahme gilt, mit denselben Worten wie im AVV, der Zeitpunkt, zu dem der Dienstleister einen angemessenen Grad an Gewissheit erlangt, dass ein Sicherheitsvorfall Daten kompromittiert hat. Diese Frist wird in Kalenderstunden berechnet und weder durch einen Samstag noch durch einen Sonntag noch durch einen Feiertag gehemmt: Sie ist vereinbart, damit dem Kunden ein nutzbarer Teil der zweiundsiebzig (72) Stunden verbleibt, über die er selbst für die Meldung der Verletzung an die Aufsichtsbehörde verfügt. Sie stellt jedoch keine Verpflichtung zur ununterbrochenen Erkennung dar: Die menschliche Bearbeitung von Sicherheitsereignissen erfolgt an Arbeitstagen; die automatisierte Erkennung bleibt außerhalb dieser Zeiten aktiv, und die Ereignisse werden dort zur Bearbeitung bei Wiederaufnahme erfasst; der Dienstleister übernimmt keine Verpflichtung zu Rufbereitschaft, Bereitschaftsdienst oder ununterbrochener menschlicher Überwachung. Können die Informationen nicht zur gleichen Zeit bereitgestellt werden, werden sie schrittweise ohne unangemessene Verzögerung mitgeteilt; einer verspäteten Meldung ist eine Begründung für die Verzögerung beizufügen.

A2.17.3 Unterstützung. Der Dienstleister unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen, damit dieser seine Pflichten nach den Artikeln 33 und 34 der Verordnung (EU) 2016/679 erfüllen kann, sowie gegebenenfalls die Pflichten aus der Richtlinie (EU) 2022/2555 oder der Verordnung (EU) 2022/2554, wenn der Kunde diesen unterliegt, ohne dass der Dienstleister selbst als wesentliche oder wichtige Einrichtung eingestuft wird.

A2.17.4 Verzeichnis, Erfahrungsbericht und Sicherungsmaßnahmen. Der Dienstleister führt ein Verzeichnis der Datenschutzverletzungen und teilt es dem Kunden mit, soweit es diesen betrifft. Er übermittelt ihm innerhalb von fünfzehn (15) Tagen nach Abschluss des Vorfalls einen schriftlichen Erfahrungsbericht mit der Chronologie, der festgestellten Ursache, den angewandten Korrekturmaßnahmen und den beschlossenen Präventivmaßnahmen. Bei Verdacht auf eine Kompromittierung setzt er unverzüglich die verhältnismäßigen Sicherungsmaßnahmen um, insbesondere die Netzwerkisolierung des betroffenen Systems, den Widerruf der exponierten Zugänge und Geheimnisse, die Sicherung der Spuren und die in Ziffer A2.12.6 beschriebene Isolierung des Backup-Systems.

A2.18 Besondere Kategorien von Daten

A2.18.1 Der Dienstleister verarbeitet im Rahmen des Vertrags keine Daten der in Artikel 9 der Verordnung (EU) 2016/679 genannten besonderen Kategorien, sofern der AVV nichts anderes bestimmt.

A2.18.2 Gibt der Hauptvertrag gemäß Ziffer 5.2 des AVV an, dass die Verarbeitung solche Daten betrifft, setzt der Dienstleister auf dokumentierte Weisung des Kunden und nach schriftlicher Vereinbarung der Parteien folgende verstärkte Maßnahmen um: systematische Pseudonymisierung, zusätzliche Verschlüsselung der betroffenen Felder auf Anwendungsebene, namentliche Protokollierung der Zugriffe, Beschränkung der Berechtigungen auf eine aktuell gehaltene namentliche Liste, Beschränkung der Backups auf das unbedingt Erforderliche, Verkürzung der Speicherfristen und Ausschluss dieser Daten aus dem Einsatzbereich des in Ziffer A2.15.4 genannten Hilfswerkzeugs für den Betrieb.

A2.18.3 Gesundheitsdaten. Der Dienstleister verfügt nicht über das Konformitätszertifikat, das nach Abschnitt II von Artikel L. 1111-8 des Code de la santé publique (französisches Gesetzbuch über die öffentliche Gesundheit) von demjenigen verlangt wird, der auf elektronischen Datenträgern personenbezogene Gesundheitsdaten hostet, die anlässlich von Tätigkeiten der Prävention, der Diagnose, der Behandlung oder der sozialen und medizinisch-sozialen Betreuung erhoben wurden, und zwar im Auftrag der Person, auf die ihre Erstellung oder Erhebung zurückgeht, oder des Patienten selbst. Folglich erbringt er keine diesem Zertifikat unterliegende Leistung, also keine der in Artikel R. 1111-9 desselben Gesetzbuchs aufgeführten Tätigkeiten (Bereitstellung und Aufrechterhaltung des Betriebs der physischen Standorte, der physischen oder virtuellen Hardwareinfrastruktur oder der Hostingplattform für Anwendungen, Administration und Betrieb des die Daten enthaltenden Informationssystems, deren Backup), wenn diese Tätigkeiten ein Informationssystem betreffen, das solche Daten im Auftrag Dritter aufbewahrt. Die Inanspruchnahme eines zertifizierten Unter-Hosters befreit ihn davon nicht, wenn sein eigener Beitrag unter eine dieser Tätigkeiten fällt.

Ausdrücklicher Vorbehalt. Das Vorstehende betrifft nur die Aufbewahrung von Gesundheitsdaten im Auftrag Dritter. Keine zertifizierungspflichtige Leistung ist daher die beiläufige, vorübergehende und nicht dauerhafte Erwähnung eines gesundheitsbezogenen Elements in einem Freitextfeld oder einer Adresse eines Formulars, das nicht zur Erhebung solcher Daten bestimmt ist, wenn dieses Formular kein strukturiertes Gesundheitsfeld enthält, keine Datenbank dessen Inhalt aufbewahrt und die Anfrage ohne andere Speicherung beim Dienstleister als für die unbedingt erforderliche Dauer ihrer Weiterleitung an den Kunden weitergeleitet wird. Der Dienstleister bewahrt in diesem Fall keine Gesundheitsdaten im Auftrag Dritter auf; diese Daten bleiben Daten des Kunden.

Die Einrichtung einer Datenbank, die den Inhalt solcher Felder aufbewahrt, die Hinzufügung eines strukturierten Gesundheitsfelds, die Indexierung oder jede Verknüpfung dieser Informationen ändern die Einstufung und erfordern eine vorherige erneute Prüfung. Jede Leistung, die dann personenbezogene Gesundheitsdaten betrifft, setzt entweder die vorherige Erlangung des erforderlichen Zertifikats oder eine durch Nachtrag formalisierte Rollenverteilung voraus, die jede zertifizierungspflichtige Tätigkeit aus dem Bereich des Dienstleisters herausnimmt. Der Kunde gewährleistet gegenüber dem Dienstleister, dass keine personenbezogenen Gesundheitsdaten außerhalb des vorstehenden ausdrücklichen Vorbehalts oder eines solchen Nachtrags in die gehosteten Systeme gelangen, und informiert ihn unverzüglich, wenn er deren Einbringung feststellt.

A2.19 Nachweis und Auditrecht des Kunden

A2.19.1 Bereitstellung von Nachweisen. Der Kunde kann mit einer schriftlichen Vorankündigung von dreißig (30) Tagen die Übermittlung der Nachweise zu den in diesem Anhang beschriebenen Maßnahmen verlangen; diese Übermittlung unterliegt keiner Häufigkeitsbeschränkung, wenn sie erforderlich ist, damit der Kunde die Einhaltung seiner eigenen Pflichten nach den Artikeln 28 und 32 der Verordnung (EU) 2016/679 nachweisen kann, insbesondere anlässlich einer Datenschutzverletzung, einer Prüfung durch die Aufsichtsbehörde oder einer Datenschutz-Folgenabschätzung.

A2.19.2 Audit. Der Kunde kann selbst oder durch einen von ihm beauftragten unabhängigen externen Prüfer ein Audit oder eine Inspektion im Sinne von Artikel 28 Absatz 3 Buchstabe h der Verordnung (EU) 2016/679 durchführen lassen, und zwar zu den im AVV vorgesehenen Bedingungen oder, wenn kein AVV besteht, zu folgenden Bedingungen: schriftliche Vorankündigung von dreißig (30) Tagen, außer bei Dringlichkeit aufgrund eines nachgewiesenen Sicherheitsvorfalls; ein Audit pro Kalenderjahr außerhalb von Vorfällen; Durchführung während der Arbeitstage und Geschäftszeiten des Dienstleisters; Umfang beschränkt auf die Systeme und Verarbeitungen, die den Kunden betreffen; Prüfer, der kein Wettbewerber des Dienstleisters ist und einer zuvor übermittelten schriftlichen Vertraulichkeitsverpflichtung unterliegt. Ein zusätzliches Audit kann nach einer Verletzung des Schutzes von Daten durchgeführt werden, die den Kunden betrifft.

A2.19.3 Entgegenhaltbare Grenzen. Der Dienstleister übermittelt weder die detaillierte Übersicht seiner Exposition noch die Liste seiner privilegierten Konten noch Elemente, deren Übergabe die Angriffsfläche seines Informationssystems vergrößern würde; er ersetzt sie dann durch eine alternative Form der wirksamen Überprüfung, insbesondere eine ausführliche Bescheinigung, eine anonymisierte Aufstellung mit Zeitstempel oder eine Überprüfung in einer Sitzung ohne Übergabe von Dokumenten. Er kann diese Grenzen nicht geltend machen, um dem Kunden jede Möglichkeit zu verweigern, die Erfüllung einer in diesem Anhang eingegangenen Pflicht zu überprüfen.

A2.19.4 Tragweite der Beschreibung. Der Dienstleister kann sich auf eine Maßnahme nicht als umgesetzte Maßnahme berufen, solange ihre Umsetzung nicht überprüft und dokumentiert ist. Dieser Anhang beschreibt den Stand der Maßnahmen zu dem am Anfang angegebenen Versionsdatum; wurde eine erklärte Abweichung behoben, vermerkt die dem Vertrag beigefügte Fassung ihre Behebung mit dem Datum der Aufstellung, die sie belegt. Fehlt ein solcher Vermerk, gilt die Abweichung als fortbestehend, und der Kunde kann ohne Entschädigung die Unterzeichnung verweigern oder sie von der vorherigen Aktualisierung des Anhangs abhängig machen.

A2.20 Dem Kunden ausdrücklich zur Kenntnis gebrachte Grenzen

Der Dienstleister erklärt im Rahmen seiner Pflicht zur Wahrhaftigkeit, dass die folgenden Maßnahmen zum Datum der Unterzeichnung nicht umgesetzt sind und dass die folgenden Grenzen den übertragenen Umfang betreffen:

1. die Verschlüsselung der Speichervolumes der Produktivsysteme und des Administrationsrechners, da nur die Backups verschlüsselt sind; der Administrationsrechner ist zudem ein Mehrzweckrechner, der nicht ausschließlich der Administration dient;
2. die Erzwingung eines zweiten Authentifizierungsfaktors auf allen Administrationssystemen;
3. die Vollständigkeit der Aufzeichnung der Administrationssitzungen, da noch Administrationswege parallel zur Bastion bestehen;
4. die tatsächliche Verfügbarkeit einer Protokollhistorie von zwölf Monaten, da die Aufbewahrungsrichtlinie erst seit dem 2. September 2026 angewandt wird, und die Aufbewahrung der Zugriffsprotokolle des Frontservers für sechs Monate;
5. das Bestehen einer Rufbereitschaft, eines Bereitschaftsdienstes, einer ununterbrochenen menschlichen Überwachung oder eines eigenen Teams zur Reaktion auf Sicherheitsvorfälle;
6. das Bestehen eines formalisierten und erprobten Plans zur Aufrechterhaltung und Wiederherstellung des Geschäftsbetriebs und folglich jedes verbindlichen Wiederherstellungsziels oder Ziels für den maximal tolerierbaren Datenverlust;
7. die Erkennung innerhalb der Systeme, die der Kunde selbst administriert;
8. jede von einer dritten Stelle erteilte Sicherheitszertifizierung, -qualifizierung oder -zulassung sowie jedes unabhängige Audit und jeder externe Penetrationstest;
9. die Filterung der vom Kunden selbst administrierten Maschinen mit öffentlicher Adresse auf Ebene der Virtualisierungsschicht und auf Ebene des vorgelagerten Netzbetreibers; der Dienstleister gewährleistet für diese Maschinen nicht, dass kein Anwendungs-, Administrations- oder Datenbankdienst direkt im Internet exponiert ist;
10. die Segmentierung des privaten Netzwerks durch Filterregeln zwischen Gastsystemen und die Einrichtung einer einheitlichen lokalen Firewall auf allen Hosts;
11. die flächendeckende Anwendung des Grundsatzes der geringsten Rechte auf die menschlichen Administrationskonten, die über weitreichende Rechte auf der vom Dienstleister betriebenen Basisinfrastruktur verfügen;
12. die Hinterlegung des Verschlüsselungsschlüssels, der die Abbilder der Virtualisierungsbasis schützt, dessen Verlust die entsprechenden Backups unwiederbringlich machen würde;
13. die Beschränkung der Berechtigungen des technischen Kontos des Hilfswerkzeugs für den Betrieb auf die geringsten Rechte und die Beschränkung des Umfangs des Zugangstokens zum Infrastrukturanbieter;
14. die Erstellung einer Offline-Backup-Kopie oder einer unveränderlichen Backup-Kopie sowie die Erprobung einer Wiederherstellung aus der Sekundärkopie und des Verfahrens zur Notfallisolierung;
15. die Durchführung regelmäßiger Sicherheitsüberprüfungen, Lieferantenüberprüfungen, geplanter Wiederherstellungstests und Krisenübungen, die der Dienstleister nicht zusagt und nicht als durchgeführt darstellt.

Anhang 3. Genehmigte Unterauftragsverarbeiter

Auf diesen Anhang wird in den Artikeln 10 und 11 des AVV verwiesen. Er führt die zum Datum dieser Fassung genehmigten Unterauftragsverarbeiter abschließend auf. Jede Änderung folgt dem Verfahren der vorherigen Information und dem zehntägigen (10 Tage) Einspruchsrecht nach Artikel 10. Ein einem bestimmten Auftrag eigener Unterauftragsverarbeiter wird nach Maßgabe von Ziffer 5.2 im Hauptvertrag genannt.

A3.1 Gemeinsame Basis, für alle Leistungen eingesetzt

A3.2 Anbieter von Sprachmodellen und Hilfswerkzeug für den Betrieb

Dieser Abschnitt gilt, wenn der Hauptvertrag eine Beratungs-, Integrations- oder Betriebsleistung umfasst, die auf einem KI-System beruht, sowie für das Hilfswerkzeug des Auftragsverarbeiters für den Betrieb. Er behandelt nur die Eigenschaft der betreffenden Anbieter als Unterauftragsverarbeiter und die Absicherung der ihnen übermittelten Daten; die Rollenverteilung zwischen den Parteien in Bezug auf KI-Systeme regeln der Hauptvertrag und der ihm beigefügte Anhang.

Die auf der Infrastruktur des Auftragsverarbeiters ausgeführten Komponenten, insbesondere ein Modell mit offenen Gewichten, die Instanz für die Reichweitenmessung, die im autonomen Modus betriebene Intrusion-Detection-Engine und der Mechanismus zum Schutz der Formulare, sind keine Unterauftragsverarbeiter im Sinne von Artikel 28 Absatz 4 DSGVO: Dadurch werden keine Daten an Dritte übermittelt. Ihr Ersatz durch einen Dienst eines Dritten folgt dem Verfahren der vorherigen Information und dem Einspruchsrecht nach Artikel 10.

Kein Anbieter wird eingesetzt, bevor vier Voraussetzungen erfüllt und dokumentiert sind: schriftlicher Ausschluss des Trainings mit den übermittelten Inhalten; keine oder schriftlich begrenzte Speicherung; nach Artikel 28 DSGVO geschlossener Auftragsverarbeitungsvertrag; geeignete Garantie im Sinne von Kapitel V DSGVO für jede Verarbeitung außerhalb der Europäischen Union. Der Auftragsverarbeiter informiert den Verantwortlichen ohne unangemessene Verzögerung und spätestens innerhalb von fünf (5) Arbeitstagen nach Kenntnisnahme über jede nachteilige Änderung, die einen dieser Anbieter betrifft, insbesondere den Wegfall des Trainingsausschlusses, das Auftreten einer Speicherung oder eine Änderung des Orts der Verarbeitungen, und setzt bis zu dessen Entscheidung die Inanspruchnahme des betreffenden Anbieters für dessen Daten aus.

Das Hilfswerkzeug für den Betrieb greift auf Anwendungsinhalte des Verantwortlichen nur in dem Umfang zu, der für einen Betriebseingriff oder die Behebung eines Vorfalls unbedingt erforderlich ist. Vor jeder Übermittlung minimiert der Auftragsverarbeiter die übermittelten Inhalte: Kürzung der Verbindungsadressen, Entfernung direkter Kennungen betroffener Personen, von Authentifizierungsgeheimnissen und Zugangstoken sowie Ersetzung technischer Kennungen durch nicht aussagekräftige Referenzen. Jede Änderung an einem Produktivsystem oder an einer Anwendung des Verantwortlichen setzt eine vorherige menschliche Freigabe voraus, und die entsprechenden Sitzungen werden nach Maßgabe von Anhang 2 aufgezeichnet. Der Verantwortliche kann durch schriftliche Weisung seine Systeme vom Einsatzbereich dieses Werkzeugs ausschließen; der Auftragsverarbeiter setzt dies innerhalb von dreißig (30) Tagen um und informiert ihn über die Auswirkungen dieses Ausschlusses auf die Diagnosefristen. Das technische Konto dieses Werkzeugs verfügt zum Datum dieser Fassung über weitreichende Administrationsrechte auf der Basisinfrastruktur des Auftragsverarbeiters, nach Maßgabe von Punkt 13 der Ziffer A2.20 des Anhangs 2.

A3.3 Vom Verantwortlichen unmittelbar bezogene Dienste

Die folgenden Dienste werden, wenn sie in der technischen Kette der Verarbeitung mitwirken, vom Verantwortlichen unmittelbar bei ihrem Anbieter bezogen: Plattform für Online-Zahlungen, Inkassoplattform für Vereine, soziale Netzwerke und Messenger-Dienste, Dienste zur Verbreitung von Musik- oder Videoinhalten, Reichweitenmessdienste Dritter. Sie sind keine Unterauftragsverarbeiter des Auftragsverarbeiters im Sinne von Artikel 28 Absatz 4 DSGVO. Der Verantwortliche übernimmt deren rechtliche Absicherung, die Eintragung in sein eigenes Verzeichnis, die Information der betroffenen Personen und gegebenenfalls die Absicherung der damit verbundenen Übermittlungen außerhalb der Europäischen Union.