Vertrag über die Auftragsverarbeitung gemäß Art. 28 DSGVO (AVV)

für die Nutzung der SaaS-Plattform „Kramlos"

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV" oder „Vertrag") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Nutzung der SaaS-Plattform „Kramlos" (nachfolgend „Plattform") gemäß dem zwischen den Parteien geschlossenen Nutzungs-/Hauptvertrag (nachfolgend „Hauptvertrag", z. B. die AGB/Nutzungsbedingungen).

Er gilt für alle Tätigkeiten, bei denen Beschäftigte des Auftragnehmers oder von diesem beauftragte Dritte personenbezogene Daten des Auftraggebers im Auftrag verarbeiten.

§ 1 Parteien

Auftraggeber (Verantwortlicher i. S. d. Art. 4 Nr. 7 DSGVO):

• Name/Firma: _______________________________
• Anschrift: _______________________________
• Vertreten durch: _______________________________
• (nachfolgend „Auftraggeber" oder „Kunde")

Auftragnehmer (Auftragsverarbeiter i. S. d. Art. 4 Nr. 8 DSGVO):

• Name/Firma: Florian v. Mengershausen (Einzelunternehmer / Freiberufler)
• Anschrift: Bergfeld 1, 83735 Bayrischzell, Deutschland
• Vertreten durch: Florian v. Mengershausen
• Kontakt Datenschutz: florian_mengershausen@yahoo.de, +49 176 47338343
• USt-IdNr.: DE402261241
• (nachfolgend „Auftragnehmer" oder „Betreiber")

§ 2 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Gegenstand. Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung und des Betriebs der Plattform „Kramlos", einer mandantenfähigen SaaS-Plattform mit Automatisierungs-Tools. Der Auftraggeber lädt hierzu Inhalte (insbesondere Dokumente) in seinen mandantengetrennten Workspace hoch und lässt diese durch die angebotenen Tools verarbeiten.

(2) Art der Verarbeitung. Erheben, Erfassen, Speichern, Auslesen, Verändern/Umwandeln (z. B. Zerlegung von Sammeldokumenten), Bereitstellen zum Abruf, Übermitteln (an genehmigte Subprozessoren, z. B. Hosting/Backup) sowie Löschen personenbezogener Daten, durchgeführt mit automatisierten Verfahren.

(3) Beispielhafter Verarbeitungsvorgang. Tool „Lohnzettel-Splitter": Der Auftraggeber lädt eine Sammel-PDF mit Gehaltsabrechnungen hoch; das Tool zerlegt diese automatisiert in Einzeldokumente je Mitarbeiter, die der Auftraggeber anschließend herunterladen kann.

(4) Zweck. Zweck der Verarbeitung ist ausschließlich die vertragsgemäße Erbringung der im Hauptvertrag vereinbarten Plattform-Leistungen für den Auftraggeber. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet im Rahmen dieses Auftrags nicht statt.

(5) Dauer. Der Vertrag beginnt mit der Registrierung des Auftraggebers bzw. dem Abschluss des Hauptvertrags und läuft auf unbestimmte Zeit, solange der Hauptvertrag besteht. Die Verarbeitung endet mit Beendigung des Hauptvertrags; die Regelungen zur Löschung/Rückgabe (§ 10) bleiben anwendbar.

(6) Ort der Verarbeitung. Die Verarbeitung erfolgt ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (Server-Standort EU). Eine Verarbeitung in Drittländern findet nur nach Maßgabe von § 7 und § 14 statt.

§ 3 Art der Daten und Kategorien betroffener Personen

(1) Gegenstand der Verarbeitung im Auftrag sind die vom Auftraggeber in die Plattform eingebrachten personenbezogenen Daten. Die konkreten Datenkategorien, Datenfelder und Speicherorte ergeben sich aus dem Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO), das diesem Vertrag als Anlage 1 (verarbeitungsverzeichnis-art30.md) beigefügt ist.

(2) Datenkategorien (typisch, nicht abschließend):

• Inhaltsdaten der vom Auftraggeber hochgeladenen Dokumente, insbesondere Gehaltsabrechnungen: Namen, Personalnummern, Entgelt-/Vergütungsdaten sowie ggf. weitere in den Dokumenten enthaltene Angaben.
• Verkehrs-/Metadaten der Verarbeitung (z. B. Zeitpunkt von Upload/Download).

(3) Kategorien betroffener Personen:

• Beschäftigte/Mitarbeiter des Auftraggebers (bei Gehaltsabrechnungen),
• ggf. weitere in den hochgeladenen Inhalten enthaltene Personen (abhängig vom jeweils genutzten Tool und den eingebrachten Daten).

(4) Besondere Kategorien (Art. 9 DSGVO). Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nicht Gegenstand dieses Auftrags. Der Auftraggeber ist nach dem Hauptvertrag (AGB) verpflichtet, solche Daten nicht in die Plattform einzubringen; die Plattform ist hierfür nicht ausgelegt.

§ 4 Rechte und Pflichten, Weisungsbindung

(1) Verantwortlichkeit. Der Auftraggeber ist als Verantwortlicher allein für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich. Er ist der „Herr der Daten".

(2) Weisungsbindung. Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich im Rahmen des Vertrags und nach dokumentierten Weisungen des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, er ist nach dem Recht der EU oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(3) Weisungen. Weisungen werden grundsätzlich durch die Nutzung der Funktionen der Plattform (Auswahl der Tools, Upload/Download, Konfiguration, Löschung) sowie ergänzend in Textform (florian_mengershausen@yahoo.de) erteilt.

(4) Hinweispflicht. Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Auftraggeber unverzüglich. Der Auftragnehmer ist berechtigt, die Durchführung einer solchen Weisung bis zur Bestätigung oder Änderung durch den Auftraggeber auszusetzen.

§ 5 Technische und organisatorische Maßnahmen (TOM)

(1) Der Auftragnehmer trifft die zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. Diese sind in der Anlage 2 – TOM (am Ende dieses Dokuments wiedergegeben) beschrieben und Vertragsbestandteil.

(2) Zu den Maßnahmen zählen insbesondere: Transportverschlüsselung (HTTPS/TLS), strikte Mandantentrennung (eigenes Datenbank-Schema je Mandant), Feld-Verschlüsselung der Gehaltsdaten, verschlüsselte Datenbank-Sicherungen sowie Zugriffs-, Zugangs- und Weitergabekontrollen.

(3) Die TOM unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragnehmer darf die Maßnahmen anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert; die jeweils aktuelle Fassung der Anlage 2 gilt.

§ 6 Vertraulichkeit

(1) Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzbestimmungen vertraut gemacht wurden (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

(2) Die Verpflichtung auf die Vertraulichkeit bzw. auf das Datengeheimnis gilt auch nach Beendigung der Tätigkeit fort.

§ 7 Inanspruchnahme weiterer Auftragsverarbeiter (Subprozessoren)

(1) Genehmigung. Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung zur Beauftragung der in Anlage 3 genannten Subprozessoren (Art. 28 Abs. 2 Satz 1 DSGVO).

(2) Aktuelle Subprozessoren (Stand: 24.09.2026):

Nicht im Einsatz: AWS (bewusst nicht genutzt), Sentry (optional, derzeit deaktiviert). Eine KI-Verarbeitung von Kundendaten findet nicht statt (vgl. § 14).

(3) Informations- und Widerspruchsrecht. Der Auftragnehmer informiert den Auftraggeber vor der Beauftragung eines neuen Subprozessors oder dem Wechsel eines bestehenden Subprozessors rechtzeitig (mindestens 14 Tage vorab) in Textform (z. B. per E-Mail oder über die Plattform). Der Auftraggeber kann einer Änderung aus wichtigem, datenschutzbezogenem Grund innerhalb von 14 Tagen widersprechen. Im Fall eines berechtigten Widerspruchs sind die Parteien um eine einvernehmliche Lösung bemüht; kann diese nicht gefunden werden, steht dem Auftraggeber ein Sonderkündigungsrecht bzgl. der betroffenen Leistung zu.

(4) Back-to-Back-Verpflichtung. Der Auftragnehmer verpflichtet jeden Subprozessor vertraglich zu Datenschutzpflichten, die den Pflichten dieses AVV entsprechen (Art. 28 Abs. 4 DSGVO), insbesondere zu hinreichenden Garantien für geeignete TOM. Kommt der Subprozessor seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung.

(5) Nicht als Subprozessoren im Sinne dieses Paragraphen gelten Neben-/Telekommunikationsleistungen, die der Auftragnehmer als Nebenleistung in Anspruch nimmt (z. B. reine Transportleistungen), sowie Wartungs-/Prüfleistungen ohne bestimmungsgemäßen Zugriff auf personenbezogene Daten.

(6) Off-site-Backup. Eine Ablage der Datenbank-Sicherungen bei einem externen Speicheranbieter findet nicht statt. Die Sicherungen liegen AES-256-verschlüsselt auf der Infrastruktur des Auftragnehmers innerhalb der EU. Nimmt der Auftragnehmer künftig ein Off-site-Ziel in Anspruch, wird dieses zuvor nach Absatz 2 bis 4 als Subprozessor aufgenommen und dem Auftraggeber angezeigt.

§ 8 Rechte betroffener Personen / Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Möglichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12–23 DSGVO), insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 28 Abs. 3 lit. e DSGVO).

(2) Die Plattform stellt hierfür Funktionen bereit: Der Auftraggeber kann seine Konto- und Inhaltsdaten selbst exportieren und löschen (Umsetzung Art. 15/17 DSGVO). Einzelheiten ergeben sich aus dem Löschkonzept – Anlage 4 (loeschkonzept.md).

(3) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Ersuchen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst, sofern keine Weisung des Auftraggebers vorliegt.

§ 9 Unterstützung bei Datenschutz-Pflichten des Verantwortlichen

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus:

• Art. 32 DSGVO – Sicherheit der Verarbeitung;
• Art. 33/34 DSGVO – Meldung von Verletzungen des Schutzes personenbezogener Daten. Der Auftragnehmer informiert den Auftraggeber unverzüglich (in der Regel ohne schuldhaftes Zögern, angestrebt innerhalb von 48 Stunden nach Kenntnis) über eine ihm bekannt gewordene Datenpanne und stellt die für die Meldung erforderlichen Informationen bereit. Der interne Ablauf ergibt sich aus dem Datenpannen-Prozess – Anlage 5 (datenpannen-prozess-art33-34.md);
• Art. 35/36 DSGVO – Datenschutz-Folgenabschätzung und vorherige Konsultation der Aufsichtsbehörde.

§ 10 Löschung und Rückgabe nach Beendigung

(1) Nach Abschluss der Verarbeitungstätigkeiten bzw. bei Beendigung des Hauptvertrags löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der EU/eines Mitgliedstaats eine Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Technische Löschmechanismen (Ist-Stand). Die Plattform sieht automatisierte Löschungen vor, u. a. werden Gehalts-Dateien 24 Stunden nach Download bzw. spätestens nach 7 Tagen automatisch gelöscht. Ergebnisse unbezahlter Probeläufe werden spätestens vier Stunden nach dem Lauf automatisch gelöscht, einschließlich erzeugter Vorschaubilder. Nach Kündigung eines Tool-Abonnements bleiben die zugehörigen Daten noch 30 Tage ab dem Ende der bezahlten Laufzeit abrufbar und werden danach gelöscht. Der Auftraggeber kann Konto und Daten jederzeit selbst löschen und zuvor exportieren. Einzelheiten und Fristen: Anlage 4 – Löschkonzept.

(3) Verantwortung für Fristen. Die Festlegung von Aufbewahrungs- und Löschfristen für die im Auftrag verarbeiteten Daten obliegt dem Auftraggeber als Verantwortlichem. Die vorstehenden technischen Defaults gelten, soweit der Auftraggeber keine abweichende, technisch umsetzbare Weisung erteilt.

(4) Die Löschung wird auf Verlangen des Auftraggebers dokumentiert/bestätigt.

§ 11 Nachweis- und Kontrollrechte (Audit)

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen – durch den Auftraggeber oder einen von diesem beauftragten Prüfer und trägt zu diesen bei (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis kann in der Regel durch Vorlage aktueller Dokumentation (Verzeichnis, TOM, Löschkonzept, Datenpannen-Prozess), durch Selbstauskunft oder – soweit vorhanden – durch Zertifikate/Testate erfolgen.

(3) Vor-Ort-Prüfungen erfolgen nach rechtzeitiger Vorankündigung (mindestens 14 Tage), während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und unter Wahrung der Vertraulichkeit sowie der Mandantentrennung (keine Einsicht in Daten anderer Kunden). Eine Prüfung pro Kalenderjahr erfolgt ohne gesonderte Vergütung; weitere Prüfungen sowie Prüfungen aus vom Auftraggeber zu vertretendem Anlass werden nach Aufwand vergütet.

§ 12 Mitteilungspflichten und Weisungsdokumentation

Der Auftragnehmer teilt dem Auftraggeber unverzüglich Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde mit, soweit sie sich auf diesen Auftrag beziehen. Er dokumentiert erteilte Weisungen in geeigneter Form.

§ 13 Haftung

(1) Für die Haftung im Verhältnis der Parteien gelten die Regelungen des Hauptvertrags/der AGB, soweit dieser AVV nichts Abweichendes bestimmt.

(2) Im Außenverhältnis gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis stellt die Partei, die eine Verletzung zu vertreten hat, die andere Partei nach den gesetzlichen Regelungen (insb. Art. 82 Abs. 5 DSGVO) frei.

§ 14 Künftige KI-Verarbeitung und Drittlandtransfer

(1) Eine Verarbeitung der im Auftrag verarbeiteten Daten durch KI- oder LLM-Systeme findet derzeit nicht statt.

(2) Beabsichtigt der Auftragnehmer künftig den Einsatz eines KI-/LLM-Dienstes zur Verarbeitung von Auftragsdaten, gilt hierfür das Verfahren für neue Subprozessoren nach § 7 Abs. 3 einschließlich Vorankündigung und Widerspruchsrecht des Auftraggebers.

(3) Erfolgt dabei eine Übermittlung in ein Drittland, stellt der Auftragnehmer die Zulässigkeit nach Art. 44 ff. DSGVO sicher, insbesondere durch einen Angemessenheitsbeschluss oder EU-Standardvertragsklauseln nebst Übermittlungs-Folgenabschätzung, und weist dies dem Auftraggeber auf Verlangen nach.

§ 15 Schlussbestimmungen

(1) Rangfolge. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen hinsichtlich der Verarbeitung personenbezogener Daten die Regelungen dieses AVV vor.

(2) Schriftform/Textform. Änderungen und Ergänzungen bedürfen der Textform. Dies gilt auch für die Abbedingung dieses Textformerfordernisses.

(3) Salvatorische Klausel. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die dem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt.

(4) Anwendbares Recht / Gerichtsstand. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist – soweit zulässig – der Sitz des Auftragnehmers (Bayrischzell; örtlich zuständig Amtsgericht Miesbach).

(5) Anlagen. Bestandteil dieses Vertrags sind:

• Anlage 1: Verzeichnis von Verarbeitungstätigkeiten (Art. 30) – verarbeitungsverzeichnis-art30.md
• Anlage 2: Technische und organisatorische Maßnahmen (Art. 32) – tom-art32.md
• Anlage 3: Liste der Subprozessoren (§ 7 Abs. 2)
• Anlage 4: Löschkonzept – loeschkonzept.md
• Anlage 5: Datenpannen-Prozess (Art. 33/34) – datenpannen-prozess-art33-34.md

§ 16 Zustandekommen des AVV (Onboarding-Prozess)

(1) Der AVV wird als Anhang zum Hauptvertrag geschlossen. Der Abschluss erfolgt wahlweise durch:

• elektronische Annahme bei der Registrierung (der Kunde bestätigt den AVV mittels aktiver Zustimmung, z. B. Checkbox „Ich habe den Auftragsverarbeitungsvertrag gelesen und stimme ihm zu", mit revisionssicherer Protokollierung von Fassung, Zeitpunkt und zustimmender Person), oder
• gesonderte Unterzeichnung (Textform/qualifizierte elektronische Signatur) auf Wunsch des Kunden.

(2) Der Auftragnehmer stellt die jeweils gültige Fassung des AVV dauerhaft abrufbar bereit (z. B. Download im Kundenkonto). Änderungen werden nach dem Änderungsverfahren des Hauptvertrags wirksam.

Ort, Datum: _______________________________

Auftraggeber (Verantwortlicher): _______________________

Auftragnehmer (Auftragsverarbeiter): _______________________

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 24.09.2026 (Fassung 1.1). Diese Anlage beschreibt die vom Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus. Der Auftragnehmer darf die Maßnahmen im Rahmen der technischen Weiterentwicklung anpassen, sofern das Schutzniveau nicht unterschritten wird.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b)

Zugangskontrolle (System/Infrastruktur). Betrieb auf dedizierter Server-Infrastruktur innerhalb der EU. Restriktive Firewall nach dem Prinzip „Default Deny" (nur die zwingend erforderlichen Ports für gesicherten Fernzugriff und HTTPS geöffnet). Automatisierter Schutz gegen Brute-Force-Angriffe. Dienste laufen in isolierten Containern mit gehärteter, nicht-privilegierter Ausführung; interne Komponenten (insbesondere die Datenbank) sind von außen nicht erreichbar und ausschließlich über ein internes Netzwerk angebunden.

Zugriffskontrolle (Anwendung). Authentifizierung über signierte Sitzungs-Token in HttpOnly-Cookies mit kurzer Gültigkeit der Zugriffstoken, Token-Rotation und Sperrliste. Passwörter werden ausschließlich als starke Hashes (PBKDF2) mit Komplexitätsprüfung gespeichert. Doppelte Anmeldebestätigung per E-Mail (Double-Opt-in); Konten sind bis zur Bestätigung inaktiv. Der Passwort-Reset ist gegen die Ausspähung vorhandener Konten (User-Enumeration) abgesichert. Rollen- und rechtebasierte Autorisierung (u. a. getrennte Rechte für Mandanten-Administration und Tool-Nutzung); standardmäßig ist jeder Zugriff authentifizierungspflichtig. Ratenbegrenzung (Rate-Limiting) zum Schutz vor Missbrauch und automatisierten Angriffen.

Mandantentrennung. Strikte logische Trennung der Kundendaten durch ein eigenes Datenbank-Schema je Mandant (Schema-per-Tenant); die Mandantenauflösung erfolgt serverseitig. Ergänzend werden sensible Datensätze zusätzlich auf Objekt-/Nutzerebene gefiltert, sodass ein mandantenübergreifender Zugriff ausgeschlossen ist.

Transportverschlüsselung. Sämtliche Verbindungen ausschließlich über TLS 1.2/1.3 (gültige, automatisch erneuerte Zertifikate). Erzwungene HTTPS-Weiterleitung und HSTS. Sichere Cookie-Attribute (Secure, HttpOnly, SameSite), Clickjacking-Schutz. E-Mail-Versand über TLS-gesicherte Verbindungen.

2. Integrität (Art. 32 Abs. 1 lit. b)

Schutz vor websitenübergreifenden Anfragefälschungen (CSRF) und sichere Cookie-Konfiguration. Getrennte, gehärtete Produktionskonfiguration (u. a. keine Debug-Ausgaben, verbindliche Host-Whitelist). Änderungen an der Software erfolgen über ein kontrolliertes Deployment-Verfahren.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b/c)

Automatische Zustandsprüfungen (Health-Checks) mit selbsttätigem Neustart der Dienste. Tägliche, AES-256-verschlüsselte Datenbank-Sicherungen mit lokaler Vorhaltung der fünf jüngsten Stände. Dokumentiertes Wiederherstellungsverfahren sowie ein wöchentlicher, automatisierter Wiederherstellungstest, der ein aktuelles Backup nicht-destruktiv einspielt, mit dem Produktivstand abgleicht und bei Abweichungen alarmiert – dadurch wird die tatsächliche Wiederherstellbarkeit laufend nachgewiesen. Hinweis: Redundanz/Hochverfügbarkeit (HA) ist – sofern nicht gesondert vereinbart – nicht Vertragsbestandteil.

4. Speicherort und Verschlüsselung ruhender Daten (Art. 32 Abs. 1 lit. a)

Die Verarbeitung der Kundeninhalte erfolgt ausschließlich auf Infrastruktur innerhalb der EU; es kommt kein Cloud-Objektspeicher zum Einsatz (die zeitweise erwogene AWS-Nutzung findet bewusst nicht statt). Die sensibelsten Datenfelder der Lohnabrechnungen – insbesondere Mitarbeitername, Personalnummer und der Inhalt der Abrechnungs-PDF – werden feldweise verschlüsselt gespeichert (Fernet/AES). Dadurch liegen diese Daten auch in Datenbank-Sicherungen ausschließlich als Chiffrat vor (Defense-in-Depth zusätzlich zur Backup-Verschlüsselung).

5. Sicherungen / Subprozessor-Absicherung

Die Datenbank-Sicherungen werden mit AES-256 verschlüsselt und ausschließlich auf der Infrastruktur des Auftragnehmers innerhalb der EU vorgehalten; der Schlüssel verbleibt beim Auftragnehmer. Eine Übertragung an einen externen Speicheranbieter findet derzeit nicht statt. Vgl. § 7 Abs. 6 dieses Vertrags.

6. Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a)

Verschlüsselung ruhender sensibler Daten (Abschnitt 4), Verschlüsselung der Backups (Abschnitt 5) und durchgehende Transportverschlüsselung (Abschnitt 1).

7. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d)

Regelmäßige, automatisierte Wiederherstellungstests der Sicherungen (Abschnitt 3). Fortlaufende Überprüfung und Weiterentwicklung der Maßnahmen anhand des Standes der Technik; dokumentierte Sicherheits- und Betriebsverfahren (Runbooks).

8. Auftragskontrolle / Secrets-Management

Einsatz von Subprozessoren ausschließlich nach Maßgabe von § 7 dieses Vertrags. Produktions-Zugangsdaten und Schlüssel (Secrets) werden außerhalb des Quellcode-Verwaltungssystems und restriktiv verwaltet.

Hinweis: Diese Anlage gibt den Stand der Maßnahmen in einer für die Vertragsbeziehung geeigneten Form wieder. Die detaillierte interne technische Dokumentation wird beim Auftragnehmer vorgehalten und kann im Rahmen der Nachweis-/Auditrechte (§ 11) nach Maßgabe der dort genannten Vertraulichkeitsanforderungen eingesehen werden.