Auftragsverarbeitung
nach Art. 28 DSGVO

Parteien

Verantwortlicher ist der Kunde, der ein Angebot von Webfromtom annimmt, das auf diesen Vertrag verweist, mit Name, Anschrift und Steuernummer wie im Angebot angegeben (nachfolgend Verantwortlicher).

Auftragsverarbeiter

Webfromtom LLC

Anschrift

30 N Gould St, Ste N, Sheridan, WY 82801, United States

Steuernummer

EIN 38-4276205

E-Mail

info@webfromtom.com

Telefon

+39 379 1007476

Nachfolgend Auftragsverarbeiter, gemeinsam die Parteien.

Präambel

Der Auftragsverarbeiter entwickelt, betreibt und wartet für den Verantwortlichen die im Angebot beschriebenen Leistungen, etwa Websites, Onlineshops, Dashboards, Automationen und das Hosting dazu. Dabei verarbeitet er personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen.

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Er ergänzt das angenommene Angebot (nachfolgend Dienstleistungsvertrag). Bei Widersprüchen gehen die Regelungen dieses Vertrages in datenschutzrechtlichen Fragen vor. Haben die Parteien für eine Leistung einen eigenen Auftragsverarbeitungsvertrag geschlossen, geht dieser für diese Leistung vor.

§ 1 Gegenstand und Dauer

(1) Gegenstand des Auftrags sind die Entwicklung, Bereitstellung, Wartung und der Betrieb der im Dienstleistungsvertrag vereinbarten Leistungen, soweit dabei personenbezogene Daten des Verantwortlichen verarbeitet werden.

(2) Der Auftragsverarbeiter erbringt die Leistung von der Europäischen Union aus. Die Daten werden bei den in Anlage 2 genannten Unterauftragsverarbeitern gespeichert. Eine Verarbeitung in Drittländern erfolgt nur unter den Voraussetzungen von § 12.

(3) Die Laufzeit dieses Vertrages entspricht der Laufzeit des Dienstleistungsvertrages. Er endet automatisch mit dessen Beendigung, unbeschadet fortbestehender Pflichten nach § 11.

§ 2 Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

(1) Zweck der Verarbeitung: Bereitstellung und Betrieb der vereinbarten Websites, Onlineshops, Dashboards und Automationen, einschließlich Kontaktformularen, Bestellabwicklung, Kundenkonten, Newslettern, Buchungen und interner Auswertungen, jeweils soweit im Dienstleistungsvertrag vereinbart.

(2) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an berechtigte Nutzer des Verantwortlichen, Abgleichen, Einschränken und Löschen.

(3) Arten personenbezogener Daten, je nach vereinbarter Leistung:

(4) Ausdrücklich nicht Gegenstand der Verarbeitung sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO, sofern der Dienstleistungsvertrag sie nicht ausdrücklich vorsieht. Der Verantwortliche stellt sicher, dass solche Daten nicht in die an den Auftragsverarbeiter übermittelten Bestände gelangen. Werden sie dennoch übermittelt, teilt der Auftragsverarbeiter dies unverzüglich mit und die Parteien stimmen das weitere Vorgehen ab.

(5) Kategorien betroffener Personen, je nach vereinbarter Leistung:

• Kunden, Interessenten und Besucher der Website des Verantwortlichen
• Geschäftspartner, Lieferanten und deren Ansprechpartner
• Abonnenten von Newslettern und Mitglieder von Kundenprogrammen
• Beschäftigte des Verantwortlichen in ihrer Eigenschaft als Nutzer der Systeme

(6) Soweit das Angebot nichts anderes vorsieht, treffen die Systeme keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und führen kein Profiling durch. Sie enthalten keine Funktionen zur Auswertung von Anwesenheit, Arbeitszeit oder Arbeitsleistung von Beschäftigten.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung in Drittländer, sofern er nicht durch das Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen erfolgen grundsätzlich in Textform. Mündlich erteilte Weisungen bestätigt der Verantwortliche unverzüglich in Textform. Das angenommene Angebot gilt als erste Weisung.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.

(4) Weisungsberechtigt ist auf Seiten des Verantwortlichen die Person, die das Angebot angenommen hat, sowie seine gesetzlichen Vertreter. Auf Seiten des Auftragsverarbeiters nimmt Thomas Maier, Inhaber, info@webfromtom.com, Weisungen entgegen. Änderungen teilen die Parteien einander unverzüglich in Textform mit.

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• die Daten ausschließlich im Rahmen des Auftrags und der Weisungen zu verarbeiten;
• sicherzustellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und diese Personen über die einschlägigen Datenschutzbestimmungen zu unterweisen;
• die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß § 5 und Anlage 1 zu ergreifen und aufrechtzuerhalten;
• den Verantwortlichen unverzüglich zu informieren, wenn ihm Verstöße gegen den Schutz personenbezogener Daten bekannt werden, nach Maßgabe von § 8;
• den Verantwortlichen bei der Erfüllung der Rechte betroffener Personen zu unterstützen, nach Maßgabe von § 7;
• den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO zu unterstützen, insbesondere bei einer etwaigen Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde, unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen;
• die Daten nach Beendigung des Auftrags nach Maßgabe von § 11 zurückzugeben oder zu löschen;
• dem Verantwortlichen alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und Überprüfungen nach § 9 zu ermöglichen und dazu beizutragen;
• ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen und dem Verantwortlichen auf Anforderung vorzulegen;
• mit der zuständigen Aufsichtsbehörde auf Anfrage zusammenzuarbeiten.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

(2) Die Maßnahmen sind in Anlage 1 beschrieben. Sie sind Vertragsbestandteil.

(3) Der Auftragsverarbeiter darf die Maßnahmen im Laufe der Zeit anpassen und weiterentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen mit.

§ 6 Unterauftragsverhältnisse

(1) Der Verantwortliche erteilt hiermit seine allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter nach Maßgabe dieser Vorschrift.

(2) Die in Anlage 2 aufgeführten Unterauftragsverarbeiter sind genehmigt, soweit sie für die im Dienstleistungsvertrag vereinbarten Leistungen eingesetzt werden.

(3) Beabsichtigt der Auftragsverarbeiter, für eine laufende Leistung einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Verantwortlichen mindestens 30 Tage vorher in Textform mit. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen ab Zugang der Mitteilung aus einem wichtigen datenschutzrechtlichen Grund widersprechen.

(4) Widerspricht der Verantwortliche berechtigt und kann der Auftragsverarbeiter die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht in zumutbarer Weise erbringen, sind beide Parteien berechtigt, den Dienstleistungsvertrag mit einer Frist von 30 Tagen zu kündigen.

(5) Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt, wie sie in diesem Vertrag festgelegt sind. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten.

(6) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt, ohne dass ein regelmäßiger Zugriff auf personenbezogene Daten des Verantwortlichen erfolgt, etwa Telekommunikationsleistungen. Ebenso nicht Dienste, für die der Verantwortliche selbst ein Vertragsverhältnis hat, etwa Shopsysteme wie Shopify, Zahlungsanbieter, Analysedienste oder sein eigenes E-Mail-Konto.

§ 7 Unterstützung bei Betroffenenrechten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen nach Kapitel III der DSGVO nachzukommen. Dies umfasst insbesondere die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, es sei denn, der Verantwortliche hat ihn dazu angewiesen.

(3) Soweit die Unterstützung einen erheblichen Aufwand verursacht, kann der Auftragsverarbeiter eine angemessene Vergütung nach den Sätzen des Dienstleistungsvertrages verlangen. Er weist den Verantwortlichen vorher darauf hin.

§ 8 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO bekannt geworden ist.

(2) Die Meldung enthält, soweit verfügbar:

• eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze
• den Namen und die Kontaktdaten einer Auskunftsstelle
• eine Beschreibung der wahrscheinlichen Folgen
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Schadensbegrenzung

(3) Sind nicht alle Angaben sofort verfügbar, erfolgt die Meldung zunächst mit den vorliegenden Informationen und wird unverzüglich ergänzt.

(4) Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmt sich dabei mit dem Verantwortlichen ab.

(5) Meldungen an die Aufsichtsbehörde nach Art. 33 DSGVO und Benachrichtigungen betroffener Personen nach Art. 34 DSGVO nimmt ausschließlich der Verantwortliche vor.

§ 9 Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche hat das Recht, die Einhaltung dieses Vertrages und der datenschutzrechtlichen Vorschriften zu überprüfen. Der Auftragsverarbeiter wirkt daran mit.

(2) Der Auftragsverarbeiter erbringt den Nachweis vorrangig durch die Vorlage geeigneter Unterlagen, insbesondere der Dokumentation der technischen und organisatorischen Maßnahmen sowie vorhandener Zertifizierungen oder Prüfberichte der eingesetzten Unterauftragsverarbeiter.

(3) Reichen diese Nachweise nicht aus, kann der Verantwortliche eine Überprüfung vor Ort oder in Form einer Fernprüfung verlangen. Diese ist mit einer Ankündigungsfrist von mindestens vier Wochen und während der üblichen Geschäftszeiten durchzuführen und darf den Geschäftsbetrieb des Auftragsverarbeiters nicht unangemessen beeinträchtigen.

(4) Überprüfungen nach Absatz 3 finden höchstens einmal jährlich statt. Bei konkreten Anlässen, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten oder auf Anordnung einer Aufsichtsbehörde, ist eine anlassbezogene Überprüfung auch darüber hinaus zulässig.

(5) Der Verantwortliche kann die Überprüfung durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen, sofern dieser nicht in einem Wettbewerbsverhältnis zum Auftragsverarbeiter steht.

§ 10 Pflichten des Verantwortlichen

• Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen verantwortlich.
• Er stellt sicher, dass für die Übermittlung der Daten an den Auftragsverarbeiter und für die beauftragte Verarbeitung eine Rechtsgrundlage besteht.
• Er erteilt alle Weisungen rechtzeitig, vollständig und in der vereinbarten Form.
• Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
• Er stellt sicher, dass die in § 2 Abs. 4 ausgeschlossenen Datenarten nicht an den Auftragsverarbeiter übermittelt werden.

§ 11 Löschung und Rückgabe nach Beendigung

(1) Nach Beendigung der Verarbeitungstätigkeiten löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien.

(2) Der Verantwortliche teilt seine Wahl innerhalb von 30 Tagen nach Vertragsende in Textform mit. Erfolgt keine Mitteilung, löscht der Auftragsverarbeiter die Daten nach Ablauf einer weiteren Frist von 30 Tagen.

(3) Die Rückgabe erfolgt in einem gängigen, maschinenlesbaren Format.

(4) Von der Löschungspflicht ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht. Diese Daten werden für die Dauer der Aufbewahrungsfrist in der Verarbeitung eingeschränkt und danach gelöscht.

(5) Sicherungskopien, die aus technischen Gründen nicht sofort gelöscht werden können, werden von der weiteren Nutzung ausgeschlossen und im Rahmen des regulären Sicherungszyklus überschrieben, spätestens jedoch innerhalb von 90 Tagen.

(6) Der Auftragsverarbeiter bestätigt die vollständige Löschung auf Verlangen in Textform.

§ 12 Übermittlung in Drittländer

(1) Die Verarbeitung findet, soweit Anlage 2 nichts anderes nennt, in Rechenzentren innerhalb der Europäischen Union statt. Neue Projekte werden in der Region Frankfurt am Main betrieben.

(2) Einzelne der in Anlage 2 genannten Unterauftragsverarbeiter haben ihren Sitz in einem Drittland, insbesondere in den Vereinigten Staaten von Amerika, oder gehören einem Konzern mit Sitz in einem Drittland an. Soweit Anlage 2 für einen Anbieter keinen Verarbeitungsort in der Europäischen Union beziehungsweise im Europäischen Wirtschaftsraum nennt, umfasst die dort beschriebene Leistung auch eine Verarbeitung in Drittländern. Der Verantwortliche genehmigt diese Verarbeitung mit diesem Vertrag. Darüber hinaus kann ein Zugriff aus einem Drittland im Rahmen von Support- und Wartungstätigkeiten nicht vollständig ausgeschlossen werden.

(3) Für jede Übermittlung und jeden Zugriff nach Absatz 2 bestehen mit den betreffenden Unternehmen Auftragsverarbeitungsverträge einschließlich der Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO sowie, soweit einschlägig, die Zertifizierung nach dem EU-US Data Privacy Framework.

(4) Eine darüber hinausgehende Übermittlung in ein Drittland erfolgt nur auf ausdrückliche Weisung des Verantwortlichen und nur bei Vorliegen der Voraussetzungen der Art. 44 bis 49 DSGVO.

(5) Der Auftragsverarbeiter ist eine Gesellschaft mit Sitz in den Vereinigten Staaten von Amerika. Er erbringt die Leistung durch seinen Inhaber von der Europäischen Union aus und speichert die Daten nicht auf eigenen Systemen außerhalb der Europäischen Union. Der Verantwortliche nimmt dies mit diesem Vertrag zur Kenntnis.

§ 13 Haftung

(1) Für die Haftung der Parteien gegenüber betroffenen Personen gilt Art. 82 DSGVO.

(2) Im Innenverhältnis haftet jede Partei für Schäden, die auf einer von ihr zu vertretenden Pflichtverletzung beruhen. Trifft beide Parteien ein Verschulden, erfolgt der Ausgleich nach dem Verhältnis der Verursachungsbeiträge.

(3) Die Haftungsregelungen des Dienstleistungsvertrages gelten ergänzend, soweit sie zwingenden gesetzlichen Vorschriften nicht entgegenstehen.

§ 14 Zustandekommen, Laufzeit und Kündigung

(1) Dieser Vertrag kommt mit der Annahme eines Angebots des Auftragsverarbeiters zustande, das auf ihn verweist, in Textform, etwa per E-Mail oder durch elektronische Bestätigung. Art. 28 Abs. 9 DSGVO lässt das elektronische Format ausdrücklich zu. Maßgeblich ist die zum Zeitpunkt der Annahme auf dieser Seite veröffentlichte Fassung. Auf Wunsch erhält der Verantwortliche sie als PDF.

(2) Er ist an die Laufzeit des Dienstleistungsvertrages gebunden und kann nicht isoliert gekündigt werden.

(3) Der Verantwortliche kann den Dienstleistungsvertrag fristlos kündigen, wenn der Auftragsverarbeiter schwerwiegend gegen Vorschriften dieses Vertrages oder gegen datenschutzrechtliche Bestimmungen verstößt und den Verstoß trotz Aufforderung nicht innerhalb einer angemessenen Frist behebt.

(4) Eine neue Fassung dieses Vertrages gilt für laufende Leistungen erst, wenn der Auftragsverarbeiter sie dem Verantwortlichen in Textform mitteilt und dieser nicht innerhalb von 30 Tagen widerspricht. Auf diese Folge weist die Mitteilung hin. Widerspricht der Verantwortliche, gilt für ihn die bisherige Fassung weiter. Änderungen der Unterauftragsverarbeiter in Anlage 2 richten sich ausschließlich nach § 6.

§ 15 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

(2) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

(3) Es gilt das Recht des Mitgliedstaats der Europäischen Union, in dem der Verantwortliche seinen Sitz hat, unter Ausschluss des Kollisionsrechts. Die Anwendbarkeit zwingender Vorschriften der DSGVO bleibt unberührt.

(4) Für Streitigkeiten gelten die gesetzlichen Gerichtsstände.

(5) Anlagen 1 und 2 sind Bestandteil dieses Vertrages.

(6) Dieser Vertrag liegt in deutscher und italienischer Sprache vor. Maßgeblich ist die Fassung in der Sprache des angenommenen Angebots.

Anlage 1: Technische und organisatorische Maßnahmen

Zutrittskontrolle: Der Auftragsverarbeiter betreibt keine eigenen Rechenzentren. Die physische Sicherheit gewährleisten die in Anlage 2 genannten Unterauftragsverarbeiter, die nach anerkannten Standards zertifizierte Rechenzentren betreiben. Arbeitsgeräte des Auftragsverarbeiters sind vollverschlüsselt, durch Kennwort und biometrische Merkmale gesichert und mit automatischer Bildschirmsperre versehen.

Zugangs- und Zugriffskontrolle:

• Persönliche Zugänge, keine geteilten Konten. Wo verfügbar, Anmeldung mit Passkey, Single Sign-on oder Mehr-Faktor-Authentifizierung
• Zugänge des Auftragsverarbeiters zu Verwaltungsoberflächen der Unterauftragsverarbeiter sind durch Mehr-Faktor-Authentifizierung geschützt
• Rollenbasiertes Berechtigungskonzept, Prüfung der Berechtigung serverseitig, Grundsatz der geringsten notwendigen Rechte
• Zugangsdaten liegen ausschließlich in einem Passwortmanager, nie in Code, Dokumenten oder E-Mails
• Getrennte Zugangsdaten für Entwicklungs- und Produktionsumgebung

Trennungskontrolle:

• Eigene Datenbank beziehungsweise eigene Installation je Kunde, keine gemeinsame Nutzung mit anderen Kunden
• Getrennte Umgebungen für Entwicklung, Vorschau und Produktion. Werden für Tests Datenbestände benötigt, werden sie auf getrennten, nicht öffentlichen Testkopien verarbeitet und danach gelöscht
• Vorschau-Bereitstellungen sind durch Zugriffsschutz gesichert oder enthalten keine echten Kundendaten

Weitergabe- und Eingabekontrolle:

• Verschlüsselte Übertragung ausschließlich über TLS in aktueller Version
• Verschlüsselung der Daten im Ruhezustand, soweit der Unterauftragsverarbeiter sie anbietet
• Kein Versand personenbezogener Daten über unverschlüsselte Kanäle
• Protokollierung von Anmeldungen sowie von ändernden und löschenden Vorgängen in den Systemen, die der Auftragsverarbeiter entwickelt. Keine personenbezogenen Inhaltsdaten in Anwendungsprotokollen

Verfügbarkeit und Belastbarkeit:

• Regelmäßige automatische Sicherungen mit Wiederherstellungsmöglichkeit
• Betrieb auf ausfallsicherer Infrastruktur der Unterauftragsverarbeiter
• Überwachung der Verfügbarkeit mit Benachrichtigung bei Störungen

Regelmäßige Überprüfung und Datenschutz durch Technikgestaltung:

• Regelmäßige Aktualisierung von Software, Plugins und Bibliotheken und Prüfung auf bekannte Sicherheitslücken
• Erhebung ausschließlich der für den jeweiligen Zweck erforderlichen Datenfelder
• Standardmäßig restriktive Rechtevergabe bei neu angelegten Benutzern
• Dokumentation der Maßnahmen und Fortschreibung bei wesentlichen Änderungen

Anlage 2: Unterauftragsverarbeiter

Eingesetzt wird jeweils nur, wer für die im Dienstleistungsvertrag vereinbarte Leistung erforderlich ist.

Mit allen genannten Anbietern bestehen Auftragsverarbeitungsverträge, mit Anbietern mit Sitz außerhalb der Europäischen Union einschließlich der Standardvertragsklauseln. Die jeweils gültige Fassung kann beim Auftragsverarbeiter angefordert werden.