Vertrag über die Auftragsverarbeitung

Stand: August 2026

Datenmatrix AI Engineering GmbH
Neustadt 31
35390 Gießen

nachfolgend Auftragnehmerin

Der Auftraggeber ergibt sich aus dem Angebot beziehungsweise der Auftragsbestätigung, auf die Anlage 1 Bezug nimmt.

Präambel

Die Auftragnehmerin stellt dem Auftraggeber die Anwendung myfinance als Dienst über das Internet bereit. Dabei verarbeitet sie personenbezogene Daten, für die der Auftraggeber Verantwortlicher ist. Dieser Vertrag konkretisiert die Pflichten beider Seiten nach Art. 28 DSGVO. Er wird vor Beginn der Verarbeitung geschlossen.

Der Vertrag ist so geschrieben, dass er beschreibt, was die Anwendung und der Betrieb heute tatsächlich leisten. Wo eine Zusage nicht gegeben werden kann, steht das ausdrücklich da — eine zugesagte Maßnahme, die es nicht gibt, hilft niemandem und schadet im Prüfungsfall beiden Seiten.

§ 1 Gegenstand, Art und Zweck, Dauer

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten, die der Auftraggeber und seine Benutzer in der Anwendung myfinance erfassen oder die dort für ihn erzeugt werden.

(2) Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Die Auftragnehmerin ist Auftragsverarbeiterin im Sinne des Art. 4 Nr. 8 DSGVO.

(3) Nicht Gegenstand dieses Vertrags sind die Daten der Benutzerkonten und der Anmeldung — Kennung, E-Mail-Adresse, Anzeigename, Sitzung und Zugriffsprotokolle. Für sie ist die Auftragnehmerin selbst Verantwortliche; die Einzelheiten stehen in ihrer Datenschutzerklärung. Diese Abgrenzung ist wesentlich: Ersuchen betroffener Personen gehen sonst an die falsche Stelle.

(4) Gegenstand und Zweck der Verarbeitung, die Art der Verarbeitung, die Arten der personenbezogenen Daten und die Kategorien betroffener Personen sind in Anlage 1 festgelegt.

(5) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. § 9 gilt über dessen Ende hinaus fort, bis die Daten zurückgegeben oder gelöscht sind.

§ 2 Weisungen

(1) Die Auftragnehmerin verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Das gilt auch für eine Übermittlung in ein Drittland oder an eine internationale Organisation.

(2) Die Nutzung der Funktionen der Anwendung durch die Benutzer des Auftraggebers ist eine dokumentierte Weisung. Darüber hinausgehende Weisungen erteilt der Auftraggeber in Textform an die in Anlage 1 genannte Stelle. Mündlich erteilte Weisungen bestätigt er unverzüglich in Textform.

(3) Weisungsberechtigt sind die in Anlage 1 benannten Personen. Änderungen teilt der Auftraggeber in Textform mit.

(4) Ist die Auftragnehmerin nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt sie dem Auftraggeber diese Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(5) Hält die Auftragnehmerin eine Weisung für rechtswidrig, informiert sie den Auftraggeber unverzüglich. Sie darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

(6) Die Auftragnehmerin verarbeitet die Daten nicht für eigene Zwecke. Sie wertet sie nicht aus, gibt sie nicht weiter und nutzt sie insbesondere nicht zum Training oder zur Verbesserung von Systemen der künstlichen Intelligenz, weder in identifizierbarer noch in anonymisierter Form.

(7) Berichtigung, Löschung und Einschränkung der Verarbeitung nimmt die Auftragnehmerin nur auf Weisung vor. Unberührt bleibt, was der Auftraggeber über die Funktionen der Anwendung selbst vornehmen kann.

§ 3 Pflichten der Auftragnehmerin

(1) Die Auftragnehmerin gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht nach dem Ende der Tätigkeit fort. Sie stellt sicher, dass diese Personen die Daten nur auf Weisung verarbeiten (Art. 29, Art. 32 Abs. 4 DSGVO).

(2) Die Auftragnehmerin führt ein Verzeichnis aller Kategorien von Verarbeitungen, die sie im Auftrag durchführt (Art. 30 Abs. 2 DSGVO).

(3) Die Auftragnehmerin hat keine Datenschutzbeauftragte und keinen Datenschutzbeauftragten bestellt; die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen nach ihrer Prüfung nicht vor. Die Ansprechstelle für den Datenschutz ist in Anlage 1 benannt. Wird eine Bestellung erforderlich, teilt die Auftragnehmerin dies unaufgefordert mit.

(4) Ein Zugriff auf Klardaten des Auftraggebers erfolgt nur, soweit er zur Erbringung der Leistung oder zur Beseitigung einer Störung erforderlich ist, und nur durch dazu benannte Personen.

(5) Richtet eine Behörde oder ein Gericht ein Auskunftsersuchen zu Daten des Auftraggebers an die Auftragnehmerin oder werden solche Daten beschlagnahmt, verweist die Auftragnehmerin auf die Verantwortlichkeit des Auftraggebers und unterrichtet ihn unverzüglich, soweit ihr das rechtlich erlaubt ist.

(6) Die Auftragnehmerin arbeitet auf Anfrage mit der Aufsichtsbehörde zusammen (Art. 31 DSGVO).

§ 4 Technische und organisatorische Maßnahmen

(1) Die Auftragnehmerin trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Sie sind in Anlage 2 beschrieben.

(2) Die Maßnahmen dürfen an den Stand der Technik und an die tatsächliche Entwicklung angepasst werden. Das vereinbarte Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert die Auftragnehmerin und teilt sie auf Anfrage mit.

(3) Anlage 2 benennt auch, was nicht zugesagt ist. Der Auftraggeber prüft eigenverantwortlich, ob das beschriebene Schutzniveau für seine Verarbeitung angemessen ist; diese Prüfung ist seine Aufgabe als Verantwortlicher (Art. 28 Abs. 1, Art. 32 Abs. 1 DSGVO) und kann ihm durch diesen Vertrag nicht abgenommen werden.

§ 5 Unterstützung des Auftraggebers

(1) Rechte betroffener Personen. Die Auftragnehmerin unterstützt den Auftraggeber angesichts der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträgen auf Wahrnehmung der Rechte betroffener Personen nachzukommen (Art. 28 Abs. 3 Buchst. e DSGVO). Dazu gehören:

• die Funktionen der Anwendung, mit denen der Auftraggeber Daten selbst einsehen, berichtigen, löschen und ausgeben kann,
• eine Auskunft oder ein Abzug der zu einer betroffenen Person gespeicherten Daten innerhalb von 20 Werktagen, soweit die Funktionen der Anwendung dafür nicht ausreichen,
• die unverzügliche Weiterleitung von Ersuchen, die die Auftragnehmerin erreichen und die Daten des Auftraggebers betreffen. Die Auftragnehmerin beantwortet solche Ersuchen nicht selbst.

(2) Eine Grenze ergibt sich aus der Sache: Das Prüfprotokoll der Anwendung ist inhaltlich unveränderbar abgesichert, damit Buchführungsvorgänge nachvollziehbar bleiben. Ein einzelner Eintrag kann darin nicht nachträglich berichtigt oder gelöscht werden, ohne dass die Kette bricht. Die Auftragnehmerin weist den Auftraggeber darauf hin, wenn ein Ersuchen diesen Bereich betrifft.

(3) Pflichten nach den Art. 32 bis 36 DSGVO. Die Auftragnehmerin unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen bei der Einhaltung seiner Pflichten (Art. 28 Abs. 3 Buchst. f DSGVO), insbesondere bei

• der Sicherheit der Verarbeitung (Art. 32),
• der Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde und der Benachrichtigung betroffener Personen (Art. 33, Art. 34) nach Maßgabe des § 6,
• einer Datenschutz-Folgenabschätzung (Art. 35) und
• einer vorherigen Konsultation der Aufsichtsbehörde (Art. 36).

(4) Die Unterstützung nach Absatz 3 umfasst insbesondere die Beschreibung der Verarbeitungsvorgänge, der Datenflüsse, der Speicherorte, der Löschfristen und der getroffenen Maßnahmen sowie die Beantwortung entsprechender Fragebögen des Auftraggebers.

(5) Die Unterstützung nach diesem Paragraphen erfolgt unentgeltlich, soweit sie gesetzlich geschuldet ist oder auf einem Umstand beruht, den die Auftragnehmerin zu vertreten hat. Darüber hinausgehenden Aufwand vergütet der Auftraggeber nach Aufwand; die Auftragnehmerin kündigt ihn vorher an.

§ 6 Verletzungen des Schutzes personenbezogener Daten

(1) Wird der Auftragnehmerin eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet sie diese dem Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform an die in Anlage 1 benannte Stelle (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält, soweit die Angaben vorliegen, eine Beschreibung der Art der Verletzung mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Liegen einzelne Angaben noch nicht vor, meldet die Auftragnehmerin zunächst das Bekannte und liefert das Übrige ohne unangemessene Verzögerung nach.

(3) Die Meldung an die Aufsichtsbehörde nach Art. 33 Abs. 1 DSGVO und die Benachrichtigung betroffener Personen nach Art. 34 DSGVO obliegen dem Auftraggeber. Die Auftragnehmerin meldet nicht in seinem Namen, es sei denn, er weist sie ausdrücklich dazu an.

(4) Die Auftragnehmerin ergreift unverzüglich die zur Sicherung der Daten und zur Begrenzung möglicher nachteiliger Folgen erforderlichen Maßnahmen und dokumentiert den Vorfall einschließlich der Umstände, der Auswirkungen und der Abhilfemaßnahmen. Die Dokumentation stellt sie dem Auftraggeber zur Verfügung.

(5) Der Auftraggeber benennt in Anlage 1 eine Stelle, die solche Meldungen entgegennimmt, und hält diese Angabe aktuell. Ohne eine erreichbare Stelle läuft die Frist des Art. 33 Abs. 1 DSGVO gegen ihn.

§ 7 Unterauftragsverarbeiter

(1) Derzeit setzt die Auftragnehmerin keine Unterauftragsverarbeiter ein. Sie betreibt die Anwendung auf eigener Infrastruktur. Anlage 3 hält diesen Stand fest.

(2) Keine Unterauftragsverarbeitung im Sinne dieses Paragraphen sind Nebenleistungen, bei denen kein Zugriff auf personenbezogene Daten des Auftraggebers vorgesehen ist, etwa Telekommunikationsleistungen, Postdienste oder die Wartung von Hardware. Auch dort achtet die Auftragnehmerin auf angemessenen Schutz und trifft, wo ein Zugriff nicht ausgeschlossen werden kann, eine gesonderte Vereinbarung.

(3) Der Auftraggeber erteilt eine allgemeine Genehmigung im Sinne des Art. 28 Abs. 2 Satz 2 DSGVO. Die Auftragnehmerin unterrichtet ihn mindestens vier Wochen vorher in Textform über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters unter Angabe von Name, Anschrift, Leistung und Ort der Verarbeitung.

(4) Der Auftraggeber kann der Änderung innerhalb von vier Wochen nach Zugang der Unterrichtung aus einem datenschutzrechtlichen Grund in Textform widersprechen. Kommt keine Einigung zustande, kann er den Hauptvertrag zum Zeitpunkt der beabsichtigten Änderung außerordentlich kündigen.

(5) Die Auftragnehmerin legt einem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die sich aus diesem Vertrag ergeben (Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet die Auftragnehmerin dem Auftraggeber gegenüber für dessen Einhaltung.

(6) Nextcloud. Die Ablage in einer Nextcloud ist derzeit nicht freigeschaltet; die Anwendung übermittelt keine Belege dorthin. Wird sie freigeschaltet, gilt: Verbindet der Auftraggeber seine eigene Nextcloud, ist deren Betreiber kein Unterauftragsverarbeiter der Auftragnehmerin. Die Ablage erfolgt in ein System, das der Auftraggeber selbst verantwortet; die Auftragnehmerin übermittelt dorthin auf seine Weisung. Gibt dagegen der Betreiber der Installation eine gemeinsame Ablage vor, wird deren Betreiber in Anlage 3 aufgeführt und Absatz 5 gilt für ihn.

§ 8 Nachweise und Kontrollen

(1) Die Auftragnehmerin stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung ihrer Pflichten zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen; sie trägt dazu bei (Art. 28 Abs. 3 Buchst. h DSGVO).

(2) Der Nachweis wird zunächst durch Auskunft geführt: durch Vorlage der Anlage 2 samt der dort genannten Belege, durch Beantwortung eines Fragebogens und durch Auskunft zu einzelnen Maßnahmen. Einmal je Vertragsjahr kann der Auftraggeber diesen Nachweis ohne besonderen Anlass verlangen.

(3) Genügt das nicht, kann der Auftraggeber eine Überprüfung vor Ort durchführen oder durch einen Prüfer durchführen lassen. Sie wird mit angemessener Frist angekündigt — in der Regel vier Wochen —, findet innerhalb der Betriebszeiten statt und wird so durchgeführt, dass der Betrieb nicht mehr als notwendig gestört wird. Bei einem konkreten Anlass darf sie kurzfristiger erfolgen.

(4) Der Prüfer darf kein Wettbewerber der Auftragnehmerin sein und ist zur Verschwiegenheit verpflichtet.

(5) Die Anwendung wird für mehrere Auftraggeber in einem System betrieben. Eine Überprüfung darf nicht dazu führen, dass der Prüfer Daten anderer Auftraggeber einsehen kann. Die Auftragnehmerin wählt die Form des Nachweises entsprechend — durch Auskunft, durch Vorführung an Testdaten oder durch Auszüge, die ausschließlich den Auftraggeber betreffen. Das schränkt das Kontrollrecht nicht ein; es ist die Pflicht der Auftragnehmerin gegenüber ihren übrigen Auftraggebern.

(6) Ein anerkanntes Zertifikat oder ein Prüfbericht einer unabhängigen Stelle kann den Nachweis ersetzen, soweit er die geprüften Maßnahmen abdeckt. Zum Zeitpunkt dieses Vertrags liegt ein solcher Nachweis nicht vor.

(7) Jede Seite trägt ihre eigenen Kosten. Für Aufwand, der über eine Überprüfung je Vertragsjahr hinausgeht, kann die Auftragnehmerin eine angemessene Vergütung verlangen; das gilt nicht, wenn der Anlass der Überprüfung von ihr zu vertreten ist.

§ 9 Löschung und Rückgabe

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht die Auftragnehmerin alle personenbezogenen Daten nach Wahl des Auftraggebers oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 Buchst. g DSGVO).

(2) Der Auftraggeber teilt seine Wahl bis zum Ende des Hauptvertrags in Textform mit. Ohne Mitteilung hält die Auftragnehmerin die Daten drei Monate nach Vertragsende vor, damit der Auftraggeber sie übernehmen kann, und löscht sie danach. Auf den Ablauf dieser Frist weist sie ihn bei Vertragsende hin.

(3) Die Herausgabe erfolgt innerhalb von 20 Werktagen nach Eingang der Anforderung in Textform, als Zusammenstellung der Belege als PDF und, soweit vorhanden, im strukturierten Rechnungsformat, ergänzt um einen strukturierten Abzug der übrigen Daten. Sie erfolgt derzeit durch die Auftragnehmerin und nicht als Selbstbedienung; eine Ausgabefunktion in der Anwendung befindet sich im Aufbau.

(4) Sicherungskopien. Gelöschte Daten sind in den nächtlichen Sicherungen enthalten, bis diese im regulären Lauf überschrieben werden, längstens einen Monat. Innerhalb dieser Frist werden sie nicht mehr verarbeitet und ausschließlich für den Wiederanlauf des Gesamtsystems vorgehalten. Eine gezielte Löschung einzelner Datensätze aus bestehenden Sicherungen findet nicht statt; sie wäre nur um den Preis der Unbrauchbarkeit der Sicherung zu haben.

(5) Gesetzliche Aufbewahrungspflichten, die die Auftragnehmerin selbst treffen, beziehen sich auf ihre eigenen Geschäftsunterlagen und nicht auf die im Auftrag verarbeiteten Daten. Die Aufbewahrungspflichten für die Belege des Auftraggebers treffen diesen; die Löschung durch die Auftragnehmerin entbindet ihn davon nicht.

(6) Die Löschung bestätigt die Auftragnehmerin auf Verlangen in Textform.

§ 10 Ort der Verarbeitung

(1) Die Verarbeitung findet ausschließlich in der Bundesrepublik Deutschland auf eigener Infrastruktur der Auftragnehmerin statt.

(2) Eine Übermittlung in ein Drittland oder an eine internationale Organisation findet nicht statt. Sie setzt eine Weisung des Auftraggebers und die Voraussetzungen des Kapitels V DSGVO voraus.

(3) Ein administrativer Zugriff auf die Systeme erfolgt ausschließlich aus dem Gebiet der Europäischen Union oder des Europäischen Wirtschaftsraums.

§ 11 Berufsgeheimnisse

(1) Gehört der Auftraggeber zu den in § 203 Abs. 1 oder Abs. 2 StGB genannten Personen — etwa Rechtsanwälte, Steuerberater, Wirtschaftsprüfer, Notare oder Angehörige eines Heilberufs —, wirkt die Auftragnehmerin an seiner beruflichen Tätigkeit im Sinne des § 203 Abs. 3 Satz 2 StGB mit. Der Auftraggeber teilt dies vor Beginn der Verarbeitung mit.

(2) Die Auftragnehmerin verpflichtet die bei ihr tätigen Personen zur Geheimhaltung und trägt dafür Sorge, dass auch weitere von ihr eingesetzte mitwirkende Personen zur Geheimhaltung verpflichtet werden (§ 203 Abs. 4 Satz 2 Nr. 2 StGB).

(3) Die Offenbarung fremder Geheimnisse beschränkt sich auf das für die Erbringung der Leistung Erforderliche.

§ 12 Haftung, Vorrang und Schlussbestimmungen

(1) Art. 82 DSGVO bleibt unberührt. Im Verhältnis der Parteien zueinander gelten ergänzend die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

(2) Dieser Vertrag geht den Allgemeinen Geschäftsbedingungen und den Besonderen Vertragsbedingungen in allen Fragen der Auftragsverarbeitung vor.

(3) Der Vertrag wird in elektronischer Form geschlossen; das genügt dem Schriftformerfordernis des Art. 28 Abs. 9 DSGVO. Änderungen und Ergänzungen bedürfen der Textform, ebenso die Aufhebung dieses Erfordernisses.

(4) Der Vertrag läuft, solange die Auftragnehmerin personenbezogene Daten im Auftrag verarbeitet. Er kann nicht gesondert vom Hauptvertrag gekündigt werden. Verletzt die Auftragnehmerin ihre Pflichten aus diesem Vertrag schwerwiegend, kann der Auftraggeber den Hauptvertrag außerordentlich kündigen.

(5) Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(6) Es gilt das Recht der Bundesrepublik Deutschland. Für den Gerichtsstand gilt § 11 der Allgemeinen Geschäftsbedingungen.

Anlage 1 — Gegenstand, Daten, betroffene Personen, Kontaktstellen

Auftraggeber und Hauptvertrag

Auftraggeber ist der im Angebot beziehungsweise in der Auftragsbestätigung bezeichnete Kunde. Hauptvertrag sind die Allgemeinen Geschäftsbedingungen und die Besonderen Vertragsbedingungen für die Nutzung von myfinance in ihrer jeweils vereinbarten Fassung.

Gegenstand und Zweck der Verarbeitung

Zweck ist die Bereitstellung einer Anwendung zur Erfassung von Stammdaten und Geschäftspartnern, zur Erstellung, Verwaltung und Festschreibung von Belegen einschließlich elektronischer Rechnungen, zu deren Ablage sowie zur Nachvollziehbarkeit der dabei vorgenommenen Änderungen.

Art der Verarbeitung

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Übermitteln in eine vom Auftraggeber verbundene Ablage, Einschränken, Löschen und Vernichten.

Arten der personenbezogenen Daten

Besondere Kategorien personenbezogener Daten

Die Anwendung sieht keine Felder für Daten nach Art. 9 DSGVO und keine für Daten nach Art. 10 DSGVO vor. Freitextfelder — insbesondere die Beschreibung einer Belegposition — kann der Auftraggeber jedoch mit beliebigem Inhalt füllen. Er stellt sicher, dass er dort keine Daten nach Art. 9 oder Art. 10 DSGVO erfasst. Ist das nach der Art seiner Tätigkeit nicht zu vermeiden, teilt er dies vor Beginn der Verarbeitung mit; die Parteien vereinbaren dann die erforderlichen zusätzlichen Maßnahmen.

Kategorien betroffener Personen

• Beschäftigte und Benutzer des Auftraggebers,
• Ansprechpersonen des Auftraggebers,
• Kunden und Interessenten des Auftraggebers, soweit es sich um natürliche Personen handelt oder soweit bei juristischen Personen natürliche Personen benannt sind,
• Lieferanten und sonstige Geschäftspartner des Auftraggebers.

Dauer

Laufzeit des Hauptvertrags, ergänzt um die Fristen des § 9.

Kontaktstellen

Beide Seiten halten diese Angaben aktuell und teilen Änderungen in Textform mit.

Anlage 2 — Technische und organisatorische Maßnahmen

Diese Anlage beschreibt die Maßnahmen nach Art. 32 DSGVO. Wo eine Maßnahme in der Anwendung selbst umgesetzt ist, ist der Beleg im Quellcode angegeben; diese Angaben sind an Prüfungen gebunden und nicht nur behauptet.

Vertraulichkeit

Eine Pseudonymisierung der Belegdaten findet nicht statt: Belege müssen dem Geschäftspartner zuordenbar bleiben, sonst erfüllen sie ihren Zweck nicht.

Integrität

Verfügbarkeit und Belastbarkeit

Verfahren zur Überprüfung der Wirksamkeit

Die Maßnahmen, die in der Anwendung umgesetzt sind, werden bei jeder Änderung des Quellcodes automatisiert geprüft. Dazu gehören eigene Prüfaufträge für die Mandantentrennung, für die Einhaltung der Modulgrenzen und für die Barrierefreiheit sowie eine Prüfung, die die Aussagen der Datenschutzerklärung gegen den Code hält. Schlägt eine dieser Prüfungen fehl, gilt die Änderung als nicht lieferbar.

Was nicht zugesagt ist

Diese Aufzählung gehört zur Anlage. Der Auftraggeber soll sein Schutzniveau auf dem beurteilen, was vorhanden ist, und nicht auf dem, was üblicherweise erwartet wird.

• Es liegt keine Zertifizierung vor, weder nach ISO 27001 noch nach einem Verfahren gemäß Art. 42 DSGVO, und kein Testat eines unabhängigen Prüfers.
• Es findet kein regelmäßiger Penetrationstest statt.
• Die Anwendung wird nicht rund um die Uhr überwacht; es gelten die Betriebszeiten der Besonderen Vertragsbedingungen.
• Eine Wiederherstellung auf einen beliebigen Zeitpunkt innerhalb eines Tages ist nicht möglich; die Sicherung ist eine Tagessicherung und kein fortlaufendes Änderungsarchiv.
• Die Inhalte der Datenbank werden nicht zusätzlich verschlüsselt gespeichert; ausgenommen ist das App-Passwort einer verbundenen Nextcloud, sobald die Ablage freigeschaltet ist.
• Ein technisch erzwungenes Protokoll administrativer Zugriffe auf die Datenbank besteht nicht. Das Prüfprotokoll der Anwendung erfasst Handlungen in der Anwendung, nicht Eingriffe an der Maschine.
• Die Sicherungen sind kein Archiv im Sinne der handels- und steuerrechtlichen Aufbewahrungspflichten. Diese Pflichten treffen den Auftraggeber und erfordern eine eigene Aufbewahrung.

Anlage 3 — Unterauftragsverarbeiter

Zum Zeitpunkt dieses Vertrags setzt die Auftragnehmerin keine Unterauftragsverarbeiter ein. Die Anwendung wird auf eigener Infrastruktur in Deutschland betrieben; es gibt keinen Hosting-Dienstleister.

Kommt ein Unterauftragsverarbeiter hinzu oder wird einer ersetzt, gilt das Verfahren nach § 7 Absatz 3 und 4: Unterrichtung mindestens vier Wochen vorher, Widerspruchsrecht des Auftraggebers innerhalb von vier Wochen.

Wird die Ablage freigeschaltet und verbindet der Auftraggeber seine eigene Nextcloud, erscheint deren Betreiber hier nicht — die Ablage liegt in einem System, das der Auftraggeber selbst verantwortet (§ 7 Absatz 6).