Rechtliches

Vereinbarung zur Auftragsverarbeitung (AVV) – Fassung 09/2026

Fassung vom 14.09.2026. Diese Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO ist Bestandteil aller Verträge mit haushoch digital, bei denen personenbezogene Daten im Auftrag verarbeitet werden (siehe Ziffer 9 der Allgemeinen Geschäftsbedingungen). Sie gilt mit Vertragsschluss, eine Unterschrift ist nicht nötig. Als PDF herunterladen.

zwischen

dem Auftraggeber – dem Unternehmen, das mit haushoch digital einen Vertrag über Leistungen nach Anlage 1 geschlossen hat –
(Verantwortlicher)

und

haushoch digital, Inhaber Hanno Schmidt
Weserstr. 30, 48145 Münster
– nachfolgend „Auftragnehmer” (Auftragsverarbeiter) –

§ 1 Gegenstand und Dauer

Der Auftragnehmer erbringt für den Auftraggeber Leistungen aus Angeboten, Auftragsbestätigungen oder Verträgen (nachfolgend zusammen „Hauptvertrag”). Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers. Diese Vereinbarung regelt die damit verbundenen Rechte und Pflichten.
Die Vereinbarung gilt für alle Aufträge zwischen den Parteien, bei denen der Auftragnehmer personenbezogene Daten im Auftrag verarbeitet, ohne dass sie je Auftrag neu geschlossen werden muss. Sie endet, wenn der letzte dieser Aufträge endet. § 4 Abs. 2 und § 11 gelten darüber hinaus.
Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht in Datenschutzfragen diese Vereinbarung vor.
Anlage 1 beschreibt drei Leistungsvarianten (A: Ads und Tracking, B: Vermietung, C: Recruiting). Es gilt die Variante, die der im Hauptvertrag beauftragten Leistung entspricht. Mehrere Varianten können nebeneinander gelten.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien der betroffenen Personen sind in Anlage 1 beschrieben.

§ 3 Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Der Hauptvertrag und diese Vereinbarung sind die erste Weisung. Weitere Weisungen erteilt der Auftraggeber in Textform (E-Mail genügt). Mündliche Weisungen bestätigt der Auftragnehmer unverzüglich in Textform.
Weisungsberechtigt beim Auftraggeber sind die im Hauptvertrag oder in der laufenden Zusammenarbeit benannten Ansprechpartner. Weisungsempfänger beim Auftragnehmer: Hanno Schmidt, hanno.schmidt@haushoch-digital.de. Änderungen teilen die Parteien einander in Textform mit.
Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert. Eine umfassende rechtliche Prüfung der Weisungen durch den Auftragnehmer findet nicht statt; die Verantwortung für ihre Rechtmäßigkeit bleibt beim Auftraggeber.

§ 4 Pflichten des Auftragnehmers

Zweckbindung. Der Auftragnehmer nutzt die Daten ausschließlich für die Zwecke des Hauptvertrags. Er nutzt sie nicht für eigene Zwecke und gibt sie nicht an Dritte weiter, außer an die in Anlage 2 genannten Unterauftragsverarbeiter. Ausgenommen sind gesetzliche Pflichten zu einer anderen Verarbeitung; darüber informiert er den Auftraggeber vorab, soweit das Gesetz es erlaubt.
Vertraulichkeit. Nur Personen, die zur Vertraulichkeit verpflichtet wurden, erhalten Zugang zu den Daten (Art. 28 Abs. 3 lit. b DSGVO). Der Auftragnehmer verpflichtet alle Beschäftigten schriftlich und weist das auf Verlangen nach. Die Vertraulichkeit gilt zeitlich unbegrenzt, auch nach Ende dieser Vereinbarung.
Sicherheit. Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 3 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt; wesentliche Änderungen stimmt er vorab ab.
Betroffenenrechte. Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen von Betroffenen (Art. 12–22 DSGVO). Anfragen, die direkt beim Auftragnehmer eingehen, leitet er unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.
Unterstützung. Der Auftragnehmer unterstützt den Auftraggeber bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung), soweit er die dafür nötigen Informationen hat. Vergütung: § 9.
Datenpannen. Verletzungen des Schutzes personenbezogener Daten und Verstöße gegen diese Vereinbarung meldet der Auftragnehmer dem Auftraggeber unverzüglich mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO. Ihm ist bekannt, dass der Auftraggeber die Aufsichtsbehörde binnen 72 Stunden informieren muss. Er ergänzt fehlende Angaben nach und wirkt an Aufklärung und Behebung mit.
Verzeichnis. Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
Datenschutzbeauftragter. Der Auftragnehmer ist nicht zur Benennung eines Datenschutzbeauftragten verpflichtet (§ 38 Abs. 1 BDSG). Ansprechpartner für den Datenschutz ist Hanno Schmidt, hanno.schmidt@haushoch-digital.de.
Nachweise. Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind (§ 8).
Home-Office. Der Auftragnehmer und seine Beschäftigten dürfen die Daten in Privatwohnungen verarbeiten. Die Maßnahmen aus Anlage 3 gelten dort gleichermaßen. Insbesondere werden Daten auf den dort genutzten Geräten nur verschlüsselt gespeichert und vor dem Zugriff Dritter (z.B. Haushaltsmitglieder) geschützt.

§ 5 Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich – insbesondere für die Rechtsgrundlage, die Informationen an die Betroffenen nach Art. 13 und 14 DSGVO, die Datenschutzhinweise an Formularen, Interessentenbögen und Bewerbungsseiten sowie für Inhalt und Gestaltung des Einwilligungshinweises, nach dem sich die Auslösung der Mess- und Werbe-Werkzeuge richtet. Der Auftragnehmer liefert auf Wunsch einen Textvorschlag und setzt die Freigabe des Auftraggebers technisch um; Inhalt und Freigabe bleiben Sache des Auftraggebers.
Der Auftraggeber erteilt Weisungen rechtzeitig und benennt Ansprechpartner (§ 3 Abs. 2).
Stellt der Auftraggeber Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er den Auftragnehmer unverzüglich.
Die Löschfristen aus Anlage 1 laufen automatisch ab Eingang der Anfrage oder Bewerbung; einer Mitteilung des Auftraggebers bedarf es dafür nicht. Teilt der Auftraggeber mit, dass Daten früher gelöscht werden sollen, löscht der Auftragnehmer früher. Sollen Daten länger aufbewahrt werden, weist der Auftraggeber das in Textform an.

§ 6 Unterauftragsverarbeiter

Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter, soweit sie für die beauftragte Leistungsvariante gekennzeichnet sind.
Will der Auftragnehmer einen Unterauftragsverarbeiter hinzufügen oder ersetzen, teilt er das dem Auftraggeber mindestens 4 Wochen vorher in Textform mit. Der Auftraggeber kann innerhalb dieser Frist widersprechen. Bei Widerspruch wird der neue Unterauftragsverarbeiter für die Daten des Auftraggebers nicht eingesetzt; die Parteien suchen eine einvernehmliche Lösung. Gelingt das nicht und kann der Auftragnehmer die Leistung ohne den Unterauftragsverarbeiter nicht mehr erbringen, kann jede Partei den betroffenen Teil des Hauptvertrags außerordentlich kündigen; bereits gezahlte Vergütung für nicht erbrachte Leistungen erstattet der Auftragnehmer anteilig.
Der Auftragnehmer schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diese Vereinbarung (Art. 28 Abs. 4 DSGVO). Die Standard-Auftragsverarbeitungsverträge der Anbieter genügen. Auf Anforderung legt er dem Auftraggeber diese Vereinbarungen vor.
Keine Unterauftragsverarbeitung im Sinne dieser Vereinbarung sind Nebenleistungen ohne Datenzugriff (Telekommunikation, Post, Wartung) sowie Dienste, die der Auftraggeber selbst beauftragt hat – insbesondere seine eigenen Werbe- und Analysekonten (Google, Meta), sein Vermietungs- oder Bewerbermanagementsystem und dessen Hersteller, die Hoster seiner Website und von ihm beauftragte Bonitätsprüfungen. Auf diese greift der Auftragnehmer nur im Auftrag zu.
Gemeinsame Verantwortlichkeit bei Meta. Für die Ausspielung von Anzeigen und die Messung der Werbewirkung mit Meta-Werkzeugen (Meta-Pixel, Conversions API) in einem Werbekonto des Auftragnehmers sind der Auftragnehmer und Meta nach den Meta-Bedingungen für Verantwortliche gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO; insoweit liegt keine Auftragsverarbeitung vor. Der Auftragnehmer nutzt die dabei entstehenden Daten ausschließlich für Kampagnen des Auftraggebers und löscht Zielgruppen, die aus Besuchern, Interessenten oder Bewerbern des Auftraggebers gebildet wurden, nach § 11. Die Messung findet nur nach Einwilligung des Besuchers statt. Der Auftraggeber kann die Messung jederzeit in Textform abbestellen; die Kampagnen laufen dann mit eingeschränkter Optimierung weiter.

§ 7 Verarbeitung außerhalb der EU / des EWR

Die Verarbeitung findet grundsätzlich in der EU oder im EWR statt. Bei Unterauftragsverarbeitern, die Daten in Drittländern verarbeiten, sorgt der Auftragnehmer für geeignete Garantien nach Kapitel V DSGVO (Angemessenheitsbeschluss – z.B. EU-US Data Privacy Framework – oder EU-Standardvertragsklauseln). Anlage 2 kennzeichnet die betroffenen Anbieter.

§ 8 Kontrollrechte

Der Auftraggeber darf die Einhaltung dieser Vereinbarung und der Maßnahmen aus Anlage 3 kontrollieren. Der Auftragnehmer erteilt dazu auf Anforderung die nötigen Auskünfte.
Der Nachweis erfolgt in der Regel durch Selbstauskunft, Dokumentation und die Nachweise der Unterauftragsverarbeiter (Zertifikate, Prüfberichte).
Eine Kontrolle vor Ort ist nur zulässig, wenn dieser Nachweis nachweislich nicht ausreicht. Sie wird mindestens 2 Wochen vorher in Textform angekündigt und findet zu üblichen Geschäftszeiten statt. Bei einer Datenpanne oder auf Anordnung einer Aufsichtsbehörde entfällt die Frist.
Kosten und Aufwand von Kontrollen: § 9.

§ 9 Unterstützungsaufwand und Vergütung

Der Auftragnehmer unterstützt den Auftraggeber bei Betroffenenanfragen (§ 4 Abs. 4), bei den Pflichten aus Art. 32–36 DSGVO (§ 4 Abs. 5), bei Datenpannen (§ 4 Abs. 6) sowie bei allen Auskünften, Nachweisen und Kontrollen nach § 8 ohne gesonderte Vergütung, unabhängig vom Aufwand.
Vergütet werden nur Weisungen, die die Leistung des Hauptvertrags ändern oder erweitern. Maßstab ist der Stundensatz des Hauptvertrags. Der Auftragnehmer kündigt solchen Aufwand vorher an; ohne Ankündigung entsteht kein Anspruch.

§ 10 Haftung

Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO und bleibt von den folgenden Regelungen unberührt.
Im Innenverhältnis trägt jede Partei den Anteil, den sie zu vertreten hat. Muss eine Partei mehr tragen, als ihrem Anteil entspricht – auch bei Bußgeldern und bei Ansprüchen betroffener Personen –, kann sie von der anderen Partei Ausgleich verlangen.
Im Übrigen gelten die gesetzlichen Regelungen und die Haftungsregelungen des Hauptvertrags, soweit sie nicht zwingenden Vorgaben der DSGVO widersprechen.

§ 11 Löschung und Rückgabe

Während der Laufzeit löscht der Auftragnehmer die Daten nach den Fristen in Anlage 1.
Nach Ende der Vereinbarung gibt der Auftragnehmer alle Daten nach Wahl des Auftraggebers zurück oder löscht sie einschließlich aller Kopien – innerhalb von 30 Tagen. Die Löschung bestätigt er in Textform. Protokolldaten bei Unterauftragsverarbeitern werden nach deren Fristen gelöscht.
Gesetzliche Aufbewahrungspflichten bleiben unberührt; für diese Daten wird die Verarbeitung bis zum Ablauf der Frist eingeschränkt.

§ 12 Schlussbestimmungen

Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform.
Sollte eine Bestimmung unwirksam sein, bleibt die Vereinbarung im Übrigen wirksam. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die ihrem Zweck am nächsten kommt.
Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragnehmers, soweit der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.
Diese Vereinbarung ist Bestandteil des Hauptvertrags. Sie wird mit Vertragsschluss (Annahme des Angebots oder Beginn der Zusammenarbeit) wirksam, spätestens mit Beginn der Verarbeitung. Sie ist dem Auftraggeber in Textform zugänglich (Art. 28 Abs. 9 DSGVO): abrufbar unter haushoch-digital.de/avv_2609 und als PDF; einer gesonderten Unterzeichnung bedarf es nicht. Für jeden Auftrag gilt die Fassung, die bei Vertragsschluss unter der im Hauptvertrag genannten Adresse abrufbar war. Änderungen an Anlage 2 teilt der Auftragnehmer nach § 6 Abs. 2 mit.
Legt der Auftraggeber eine eigene Vereinbarung zur Auftragsverarbeitung vor, gilt diese nur, wenn der Auftragnehmer ihr in Textform zustimmt.

haushoch digital, Hanno Schmidt · Münster, Fassung vom 14.09.2026

Anlage 1 – Beschreibung der Verarbeitung

Diese Anlage beschreibt drei Leistungsvarianten. Es gilt die Variante, die der im Hauptvertrag beauftragten Leistung entspricht; mehrere Varianten können nebeneinander gelten (§ 1 Abs. 4).

Variante A – Ads und Tracking in den Konten des Auftraggebers

Gegenstand und Zweck. Konzeption, Einrichtung und Betreuung bezahlter Anzeigen sowie von Webanalyse und Tracking in den eigenen Werbe- und Analysekonten des Auftraggebers; Beratung und Reporting auf Basis aggregierter Werte.
Datenarten. Pseudonyme Nutzungs- und Trackingdaten (Cookie- und Werbe-IDs, von den Plattformen gekürzte IP-Adressen, ungefährer Standort, Interaktionen mit Anzeigen und Website). Keine Klardaten beim Auftragnehmer.
Betroffene. Besucher der Website und der Social-Media-Profile des Auftraggebers.
Dauer. Laufzeit des Hauptvertrags. Der Auftragnehmer speichert keine Rohdaten außerhalb der Konten des Auftraggebers.
Ort. In den Konten des Auftraggebers; die Verarbeitungsorte richten sich nach dessen Verträgen mit den Plattformen (§ 6 Abs. 4).

Variante B – Vermietung

Gegenstand und Zweck. Gewinnung von Wohnungsinteressenten für den Auftraggeber: Online-Werbung, Anfrageformulare und Interessentenbögen, Weiterleitung der Anfragen an das Vermietungssystem des Auftraggebers, Reichweitenmessung nach Einwilligung der Besucher (bei Meta: § 6 Abs. 5), Kommunikation mit Interessenten im Namen des Auftraggebers nach Weisung, Fehlersuche und Support.
Datenarten. Stamm- und Kontaktdaten, Angaben zum Haushalt und zum Wohnungswunsch, Freitextangaben, Bestätigungen (Kenntnisnahme der Datenschutzhinweise), technische Daten der Anfrage (Zeitstempel, Herkunft), pseudonyme Nutzungsdaten der Reichweitenmessung, Kommunikationsdaten. Objektdaten enthalten keine Interessentendaten.
Betroffene. Wohnungsinteressenten; Besucher der Anfrageformulare und Interessentenbögen; Mitarbeitende des Auftraggebers als Ansprechpartner.
Dauer. Laufzeit des Hauptvertrags. Anfragedaten werden beim Auftragnehmer spätestens 90 Tage nach Eingang gelöscht, Korrespondenz mit Interessenten spätestens 90 Tage nach Versand, Zielgruppen auf Werbeplattformen mit Ende der Anzeigenschaltung (§ 5 Abs. 4). Das Vermietungssystem des Auftraggebers ist nicht Gegenstand dieser Vereinbarung.
Ort. EU/EWR; Ausnahmen nach Anlage 2 und § 7.

Variante C – Recruiting

Gegenstand und Zweck. Gewinnung von Bewerbern für offene Stellen des Auftraggebers: Online-Werbung, Online-Bewerbungsseite mit Eignungsfragen, Weiterleitung der Bewerbungen an den Auftraggeber mit Eingangsbestätigung in dessen Namen, Entgegennahme und Weiterleitung nachgereichter Unterlagen, Reichweitenmessung nach Einwilligung der Besucher (bei Meta: § 6 Abs. 5), Reporting, Fehlersuche und Support. Das Bewerbungsverfahren selbst führt der Auftraggeber in seinen eigenen Systemen.
Datenarten. Kontaktdaten, Antworten auf Eignungsfragen, nachgereichte Bewerbungsunterlagen, technische Daten der Bewerbung (Zeitstempel, Herkunft), pseudonyme Nutzungsdaten der Reichweitenmessung, Kommunikationsdaten.
Betroffene. Bewerber; Besucher der Bewerbungsseite; Mitarbeitende des Auftraggebers als Ansprechpartner.
Dauer. Laufzeit des Hauptvertrags. Bewerberdaten werden beim Auftragnehmer spätestens 6 Monate nach Eingang der Bewerbung gelöscht (Frist nach § 15 Abs. 4 AGG zuzüglich Bearbeitungszeit), nachgereichte Unterlagen unverzüglich nach Weiterleitung, spätestens 14 Tage nach Eingang. Früher auf Mitteilung des Auftraggebers; länger nur auf dessen Weisung in Textform, mit Einwilligung des Bewerbers oder bei gesetzlicher Pflicht (§ 5 Abs. 4).
Ort. EU/EWR; Ausnahmen nach Anlage 2 und § 7.

Anlage 2 – Unterauftragsverarbeiter

Stand: 14.09.2026. Die Spalte „Variante” nennt, bei welcher Leistungsvariante nach Anlage 1 der Anbieter zum Einsatz kommt.

Variante A: Der Auftragnehmer setzt keine Unterauftragsverarbeiter ein. Werbe- und Analyseplattformen werden über die Konten und Verträge des Auftraggebers genutzt (§ 6 Abs. 4).

Varianten B und C:

Anbieter	Anschrift	Teilleistung	Variante	Land	Garantie Drittland
Celonis SE (Make.com)	Theresienstr. 6, 80333 München	Automatisierte Weiterleitung von Anfragen und Bewerbungen	B, C	Deutschland / EU	Data Processing Agreement; EU-Standardvertragsklauseln der Unterdienstleister
netcup GmbH	Daimlerstraße 25, 76185 Karlsruhe	Server für Bewerbungsseiten und Interessentenbögen	B, C	Deutschland	AVV
Perspective Software GmbH	Müggelstr. 22, 10247 Berlin	Online-Fragebögen (auslaufend)	B, C	EU; Unterdienstleister USA	AVV; SCC / EU-US Data Privacy Framework
Google Ireland Ltd.	Gordon House, Barrow Street, Dublin 4, Irland	Büro- und Kollaborationsdienste des Auftragnehmers; Werbe- und Analysedienste, soweit im Auftrag geführt	B, C	EU / USA	Auftragsverarbeitungsbedingungen; EU-US Data Privacy Framework, SCC
Meta Platforms Ireland Ltd.	Merrion Road, Dublin 4, Irland	Werbeanzeigen und Reichweitenmessung – insoweit gemeinsame Verantwortlichkeit (§ 6 Abs. 5), Zeile zur Transparenz	B, C	EU / USA	Datenverarbeitungsbedingungen; EU-US Data Privacy Framework, SCC

Nicht als Unterauftragsverarbeiter gelten (§ 6 Abs. 4): das Vermietungs- oder Bewerbermanagementsystem des Auftraggebers und dessen Hersteller, die Hoster der Website des Auftraggebers, von ihm beauftragte Bonitätsprüfungen und seine eigenen Werbe- und Analysekonten. Beschäftigte des Auftragnehmers sind keine Unterauftragsverarbeiter; sie sind zur Vertraulichkeit verpflichtet (§ 4 Abs. 2).

Anlage 3 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer ist ein Einzelunternehmen mit wenigen Beschäftigten und ohne eigene Serverräume. Die Verarbeitung findet in den Diensten nach Anlage 2, in den Konten des Auftraggebers und auf den Arbeitsgeräten des Auftragnehmers statt – auch im Home-Office (§ 4 Abs. 10).

Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle: Keine eigenen Serverräume. Die Rechenzentren der eingesetzten Dienstleister unterliegen deren zertifizierten Zutrittskonzepten. Arbeitsgeräte werden bei Abwesenheit gesperrt und vor dem Zugriff Dritter geschützt.
Zugangskontrolle: Persönliche Zugänge für alle Dienste, Passwortmanager, keine geteilten Passwörter, Zwei-Faktor-Authentifizierung, wo der Dienst sie anbietet. Arbeitsgeräte mit Geräteverschlüsselung, automatischer Bildschirmsperre und aktuellen Updates. Zugang zu Servern nur schlüsselbasiert.
Zugriffskontrolle: Berechtigungen nur im Umfang der jeweiligen Aufgabe; sofortiger Entzug beim Ausscheiden. Zugriffe auf Systeme des Auftraggebers ausschließlich über vom Auftraggeber eingerichtete, persönliche Konten.
Trennungskontrolle: Daten verschiedener Auftraggeber werden logisch getrennt verarbeitet (getrennte Ablagen, Abläufe und Listen); keine Vermischung.

Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle: Übertragung ausschließlich verschlüsselt (TLS). Listen mit Betroffenendaten werden nicht als E-Mail-Anhang versandt, sondern über zugriffsbeschränkte Freigaben bereitgestellt.
Eingabekontrolle: Persönliche Benutzerkonten in allen Diensten; Eingaben, Änderungen und Weiterleitungen werden durch die eingesetzten Dienste protokolliert (Ausführungsprotokolle, Versionsverläufe, Änderungsprotokolle).

Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

Verfügbarkeitskontrolle: Dienste mit eigener Redundanz und Datensicherung; regelmäßige Sicherung eigener Server. Automatisierte Weiterleitungen mit Wiederholungslogik und Schutz gegen unvollständige Übertragungen. Störungen werden dem Auftraggeber gemeldet, Ursache und Abhilfe dokumentiert.
Löschung: Löschfristen nach Anlage 1. Lokale Arbeitskopien werden nach Abschluss der Aufgabe gelöscht; eine dauerhafte lokale Speicherung von Betroffenendaten ist untersagt.

Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

Alle Beschäftigten sind zur Vertraulichkeit verpflichtet und im Umgang mit Zugängen und Betroffenendaten eingewiesen. Betroffenendaten werden nur in den in Anlage 1 und 2 genannten Systemen verarbeitet.
Es gibt einen Ablauf für Datenpannen (Erkennen, Meldung an den Auftraggeber, Behebung, Dokumentation).
Unterauftragsverarbeiter werden nach Zertifizierungen (z.B. ISO 27001, SOC 2) und vorhandenem Auftragsverarbeitungsvertrag ausgewählt.
Die Maßnahmen werden jährlich überprüft (zuletzt: September 2026).