Vertrag zur Auftragsverarbeitung

Dieser Vertrag nach Artikel 28 DSGVO wird geschlossen zwischen dem Kunden als Verantwortlichem und Tobias Nase GmbH, Kronstädter Straße 20, 50858 Köln, eingetragen beim Amtsgericht Köln unter HRB 123307 als Auftragsverarbeiter. Er gilt für alle personenbezogenen Daten, die der Auftragsverarbeiter bei der Nutzung von ClosingHub im Auftrag des Kunden verarbeitet.

Dieselbe Fassung liegt in der Software und wird dort zusammen mit den Allgemeinen Geschäftsbedingungen bestätigt. Ändert sich der Wortlaut, wird beim nächsten Anmelden erneut zugestimmt.

1. Geltung, Auslegung und Vorrang

1.1 Dieser Vertrag ergänzt den Vertrag über die Nutzung von ClosingHub (Hauptvertrag), der in den Allgemeinen Geschäftsbedingungen geregelt ist.

1.2 Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung, die ihnen die DSGVO gibt. Der Vertrag ist so auszulegen, dass er mit der DSGVO im Einklang steht.

1.3 Widerspricht dieser Vertrag dem Hauptvertrag, geht dieser Vertrag vor, soweit es um die Verarbeitung personenbezogener Daten geht.

1.4 Anlage 1 (Technische und organisatorische Maßnahmen) und Anlage 2 (Unterauftragsverarbeiter) sind Teil dieses Vertrags.

2. Gegenstand und Dauer

2.1 Gegenstand ist die Verarbeitung personenbezogener Daten beim Betrieb der Software ClosingHub, einer Vertriebssoftware mit Lead-Verwaltung, Telefonie, E-Mail, Kalender, Terminbuchung und Auswertung, nutzbar im Browser und als App für das iPhone.

2.2 Der Vertrag gilt, solange der Hauptvertrag besteht. Er endet mit ihm, ohne dass es einer eigenen Kündigung bedarf. Die Pflichten aus Ziffer 16 bestehen darüber hinaus fort.

3. Art und Zweck der Verarbeitung

3.1 Speichern, Ordnen, Auslesen, Verändern und Löschen von Kontakt- und Vorgangsdaten für die Vertriebsarbeit des Kunden.

3.2 Aufbau, Durchführung und Abrechnung von Telefongesprächen, sofern der Kunde die Telefonie gebucht hat. Gespräche werden nicht aufgezeichnet; eine Aufzeichnungsfunktion ist derzeit nicht verfügbar. Führt der Auftragsverarbeiter sie ein, gilt Ziffer 18.

3.3 Versand transaktionaler Nachrichten an Kontakte des Kunden, insbesondere Terminbestätigungen, Erinnerungen und Anforderungen von Unterlagen.

3.4 Verbindet der Kunde ein eigenes E-Mail-Postfach: Versand von E-Mails an Kontakte des Kunden über dieses Postfach und Abruf der Antworten dieser Kontakte. Gespeichert werden nur Nachrichten, die einem Kontakt im Arbeitsbereich des Kunden zugeordnet werden können. Alle übrigen Nachrichten des Postfachs werden weder gespeichert noch weiterverarbeitet.

3.5 Zustellung von Benachrichtigungen an die iPhone-App der Nutzer des Kunden, etwa zu neuen Leads, eingehenden E-Mails, hochgeladenen Unterlagen, fälligen Aufgaben und eingehenden Anrufen, sofern der Nutzer Benachrichtigungen in der App erlaubt hat.

3.6 Der Auftragsverarbeiter nutzt die Daten des Kunden nicht für eigene Zwecke, insbesondere nicht für Werbung, Profilbildung oder das Training von Modellen. Die Software übermittelt keine Daten des Kunden an Anbieter von KI-Modellen. Der Auftragsverarbeiter setzt bei der Entwicklung KI-Werkzeuge ein, ohne ihnen Daten des Kunden zu geben.

3.7 Der Auftragsverarbeiter wertet die Nutzung von Funktionen in zusammengefasster Form aus, um die Software zu verbessern; dabei werden keine Inhaltsdaten des Kunden verarbeitet.

3.8 Verbindet ein Nutzer seinen eigenen Kalender bei Google oder Microsoft: Eintragen seiner Termine aus der Software in diesen Kalender mit Titel, Name des Kontakts, Zeit und Notiz zum Termin, und Lesen der Termine dieses Kalenders mit Titel, Beginn und Ende, damit die Software belegte Zeiten anzeigen kann.

3.9 Hinterlegt ein Nutzer Buchungslinks eines eigenen Terminwerkzeugs, etwa Calendly oder Cal.com, oder verbindet er sein Konto dort: Abruf freier Zeiten und Buchung von Terminen für Kontakte des Kunden über dieses Werkzeug. Dabei gehen Name und E-Mail-Adresse des Kontakts an den Anbieter. Bucht ein Kontakt selbst über einen solchen Link, meldet der Anbieter den Termin an die Software, die ihn dem Kontakt zuordnet.

3.10 Für die Betreuung der Nutzer des Kunden im Support-Chat verarbeitet der Auftragsverarbeiter Kennung, Name und E-Mail-Adresse des Nutzers sowie Kennung und Name des Arbeitsbereichs als eigenständig Verantwortlicher (Anlage 2, Abschnitt B). Die Software übergibt dafür keine Inhaltsdaten des Kunden.

4. Art der Daten

4.1 Kontaktdaten: Anrede, Vorname, Nachname, E-Mail-Adresse, Telefonnummer, Mobilnummer, Straße, Postleitzahl, Ort, Land, Geburtsdatum, Firmenname.

4.2 Vorgangsdaten: Status, Quelle, Notizen, Aufgaben, Termine, Gesprächsergebnisse, Verbindungsdaten von Anrufen (Zeitpunkt, Dauer, Rufnummern), E-Mails mit Kontakten (Absender, Empfänger, Betreff, Inhalt, Zeitpunkt), erteilte und widerrufene Einwilligungen.

4.3 Gesprächsaufzeichnungen werden derzeit nicht erstellt und nicht gespeichert. Führt der Auftragsverarbeiter eine Aufzeichnungsfunktion ein, gilt Ziffer 18.

4.4 Vom Kunden hochgeladene Unterlagen sowie selbst angelegte Felder, deren Inhalt der Kunde bestimmt.

4.5 Angaben aus der Selbstauskunft, etwa zu Einkommen, Vermögen oder Bankverbindung, sofern der Kunde diese Funktion nutzt. Sie stehen unter besonderem Schutz.

4.6 Daten der Nutzer des Kunden: Name, E-Mail-Adresse, Rolle, Anmeldezeitpunkte.

4.7 Besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO sind für die Software nicht vorgesehen. Gibt der Kunde solche Daten dennoch ein, gilt Ziffer 6.3.

5. Kreis der Betroffenen

5.1 Interessenten und Kunden des Kunden (Leads) und deren Ansprechpartner.

5.2 Beschäftigte und sonstige Nutzer des Kunden mit Zugang zum Arbeitsbereich.

5.3 Gesprächspartner bei ein- und ausgehenden Anrufen.

6. Pflichten des Kunden

6.1 Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er die Daten rechtmäßig erhoben hat und die nötigen Einwilligungen für Werbeanrufe und Werbe-E-Mails vorliegen.

6.2 Bemerkt der Kunde Fehler oder Unregelmäßigkeiten bei der Verarbeitung, teilt er sie dem Auftragsverarbeiter unverzüglich mit.

6.3 Verarbeitet der Kunde besondere Kategorien personenbezogener Daten, prüft er selbst, ob die Maßnahmen in Anlage 1 dafür ausreichen.

7. Weisungen

7.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Das gilt auch für eine Übermittlung in ein Drittland. Die Nutzung der Software durch den Kunden und ihre Einstellungen gelten als Weisung.

7.2 Ist der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er dem Kunden diese Pflicht vor der Verarbeitung mit, es sei denn, das betreffende Recht verbietet die Mitteilung.

7.3 Einzelweisungen erteilt der Kunde in Textform an [email protected] oder an die im Impressum genannte Anschrift. Weisungen erteilen können Inhaber und Administratoren des Arbeitsbereichs.

7.4 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies dem Kunden unverzüglich mit. Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

7.5 Geht eine Weisung über den Leistungsumfang des Hauptvertrags hinaus, kann der Auftragsverarbeiter den Aufwand gesondert berechnen, wenn er dies vorher ankündigt.

8. Vertraulichkeit

8.1 Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen und mit den einschlägigen Vorschriften vertraut sind. Die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus.

8.2 Zugang zu Daten des Kunden erhalten diese Personen nur, soweit es für die Leistung nötig ist. Zugriffe des Auftragsverarbeiters auf einen Arbeitsbereich laufen ausschließlich über benannte Funktionen mit Zweckangabe und werden gesondert protokolliert.

9. Technische und organisatorische Maßnahmen

9.1 Der Auftragsverarbeiter trifft mindestens die Maßnahmen aus Anlage 1, um ein dem Risiko angemessenes Schutzniveau nach Artikel 32 DSGVO zu gewährleisten.

9.2 Er darf die Maßnahmen an den Stand der Technik anpassen, wenn das Schutzniveau dabei nicht sinkt. Einer erneuten Zustimmung des Kunden bedarf es dafür nicht. Wesentliche Änderungen dokumentiert er in Anlage 1 und zeigt sie dem Kunden in der Software an.

10. Unterauftragsverarbeiter

10.1 Der Kunde genehmigt den Einsatz der Unterauftragsverarbeiter aus Anlage 2.

10.2 Der Auftragsverarbeiter kündigt jede beabsichtigte Hinzunahme oder Ersetzung eines Unterauftragsverarbeiters mindestens 14 Tage vorher per E-Mail an den Inhaber des Arbeitsbereichs und in der Software an. Der Kunde kann der Änderung innerhalb von 14 Tagen nach der Ankündigung aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Hält der Auftragsverarbeiter dennoch an der Änderung fest, kann der Kunde den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen. Anlage 2 wird nach diesem Verfahren ohne erneute Zustimmung zu diesem Vertrag angepasst.

10.3 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags im Wesentlichen entsprechen, insbesondere auf geeignete technische und organisatorische Maßnahmen.

10.4 Erfüllt ein Unterauftragsverarbeiter seine Datenschutzpflichten nicht, haftet der Auftragsverarbeiter dem Kunden dafür wie für eigenes Handeln.

10.5 Keine Unterauftragsverarbeitung sind Leistungen ohne Zugriff auf Daten des Kunden, etwa Telekommunikation und Post, sowie Dienste, die als eigenständig Verantwortliche handeln (Anlage 2, Abschnitt B).

10.6 Verbindet der Kunde ein eigenes Konto bei einem anderen Anbieter, etwa ein E-Mail-Postfach oder einen Kalender bei Google oder Microsoft oder ein Terminwerkzeug wie Calendly oder Cal.com, ist dieser Anbieter kein Unterauftragsverarbeiter. Der Kunde wählt ihn selbst, erteilt mit dem Verbinden die Weisung zur Übermittlung nach Ziffer 3.4, 3.8 und 3.9 und hat mit ihm ein eigenes Vertragsverhältnis. Das gilt auch, wenn der Anbieter die Daten außerhalb der Europäischen Union verarbeitet. Bei Google und Microsoft erhält die Software nur die Rechte, E-Mails im Namen des Kunden zu senden sowie Termine im verbundenen Kalender zu lesen und einzutragen.

10.7 Verbindet der Kunde über den MCP-Zugang oder die Programmierschnittstelle einen eigenen KI-Assistenten oder ein anderes Werkzeug, etwa von Anthropic oder OpenAI, ist dessen Anbieter kein Unterauftragsverarbeiter. Der Kunde wählt ihn selbst, erteilt damit die Weisung zur Übermittlung und hat mit ihm ein eigenes Vertragsverhältnis.

11. Ort der Verarbeitung und Drittländer

11.1 Inhaltsdaten, insbesondere Leads, Unterlagen, Termine und Gesprächsdaten, werden innerhalb der Europäischen Union gespeichert und verarbeitet. Die Datenbank liegt in Frankfurt am Main. Ausgenommen sind die Kurzinhalte von Benachrichtigungen an die iPhone-App nach Ziffer 3.5, die zur Zustellung über den Benachrichtigungsdienst von Apple laufen (Anlage 2), sowie Übermittlungen an eigene Konten des Kunden nach Ziffer 10.6.

11.2 Mehrere Unterauftragsverarbeiter haben ihren Sitz außerhalb der Europäischen Union, in den Vereinigten Staaten und in Singapur. Verarbeitungsort und Garantie nach Kapitel V DSGVO stehen je Anbieter in Anlage 2.

11.3 Eine weitere Übermittlung in ein Drittland erfolgt nur auf Weisung des Kunden, nach vorheriger Information und nur, wenn die Voraussetzungen der Artikel 44 bis 49 DSGVO erfüllt sind.

12. Unterstützung bei Rechten der Betroffenen

12.1 Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit kann der Kunde über die Funktionen der Software selbst erfüllen, insbesondere über Bearbeitung, Löschung und Export.

12.2 Wo das nicht reicht, unterstützt der Auftragsverarbeiter den Kunden mit geeigneten technischen und organisatorischen Maßnahmen.

12.3 Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er den Antrag unverzüglich an den Kunden weiter und beantwortet ihn nicht selbst, es sei denn, der Kunde weist ihn dazu an.

13. Unterstützung bei Sicherheit, Folgenabschätzung und Konsultation

13.1 Unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen unterstützt der Auftragsverarbeiter den Kunden bei der Sicherheit der Verarbeitung nach Artikel 32 DSGVO, bei Datenschutz-Folgenabschätzungen nach Artikel 35 DSGVO, bei einer vorherigen Konsultation der Aufsichtsbehörde nach Artikel 36 DSGVO sowie bei Meldungen und Benachrichtigungen nach Artikel 33 und 34 DSGVO (Ziffer 14).

13.2 Die Unterstützung im üblichen Umfang erbringt der Auftragsverarbeiter ohne gesonderte Vergütung. Darüber hinausgehenden Aufwand, der nicht auf einem Verstoß des Auftragsverarbeiters beruht, kann er nach vorheriger Ankündigung angemessen vergütet verlangen.

14. Verletzungen des Schutzes personenbezogener Daten

14.1 Wird dem Auftragsverarbeiter eine Verletzung des Schutzes von Daten des Kunden bekannt, informiert er den Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, per E-Mail an den Inhaber des Arbeitsbereichs.

14.2 Die Meldung enthält, soweit bekannt: die Art der Verletzung mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, eine Ansprechperson, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen.

14.3 Was noch nicht bekannt ist, liefert der Auftragsverarbeiter nach, sobald es vorliegt.

14.4 Der Auftragsverarbeiter ergreift unverzüglich Maßnahmen, um die Verletzung einzudämmen und nachteilige Folgen zu mindern, und dokumentiert sie.

15. Nachweise und Kontrollen

15.1 Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage in Textform nach, vorrangig durch Unterlagen, insbesondere diesen Vertrag, Anlage 1 und Auskünfte zu konkreten Fragen.

15.2 Reichen die Unterlagen nicht aus, kann sich der Kunde selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragsverarbeiters ist, vor Ort überzeugen. Vor-Ort-Prüfungen finden höchstens einmal im Kalenderjahr statt, es sei denn, es besteht ein konkreter Anlass, insbesondere eine Verletzung des Schutzes personenbezogener Daten oder eine Anordnung der Aufsichtsbehörde. Sie sind mindestens 30 Tage vorher in Textform anzukündigen und finden während der üblichen Geschäftszeiten und ohne unangemessene Störung des Betriebs statt.

15.3 Jede Seite trägt ihre eigenen Kosten einer Prüfung. Übersteigt der Aufwand des Auftragsverarbeiters einen Arbeitstag je Prüfung, kann er den darüber hinausgehenden Aufwand nach vorheriger Ankündigung zu üblichen Sätzen berechnen. Das gilt nicht, wenn die Prüfung einen Verstoß des Auftragsverarbeiters gegen diesen Vertrag oder die DSGVO aufdeckt.

15.4 Beide Seiten stellen der zuständigen Aufsichtsbehörde auf Anfrage die Informationen aus diesem Vertrag zur Verfügung.

16. Löschung und Rückgabe

16.1 Der Kunde kann seine Daten während der Laufzeit und bis 30 Tage nach Ende des Hauptvertrags über die Exportfunktionen der Software ausleiten. Das ist die Rückgabe im Sinne von Artikel 28 Absatz 3 Buchstabe g DSGVO.

16.2 Nach Ablauf der 30 Tage löscht der Auftragsverarbeiter die Daten des Kunden. Auf Anfrage bestätigt er die Löschung in Textform.

16.3 Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht, insbesondere Nachweise über Einwilligungen, die nach § 7a UWG fünf Jahre aufzubewahren sind, sowie Rechnungsunterlagen nach handels- und steuerrechtlichen Vorschriften. Sie werden für die Dauer der Pflicht gesperrt und nur zum Nachweis verarbeitet.

16.4 Löschungen wirken in der Anwendung sofort. In den täglichen Sicherungen der Datenbank sind gelöschte Daten noch bis zu 7 Tage enthalten, in der verschlüsselten Sicherung der Unterlagen bis zu 30 Tage, damit eine versehentliche Löschung rückgängig gemacht werden kann. Nach spätestens 30 Tagen ist eine Löschung damit überall vollzogen.

17. Haftung

Die Haftung gegenüber betroffenen Personen nach Artikel 82 DSGVO bleibt unberührt. Im Verhältnis der Parteien zueinander gelten die Haftungsregeln der Allgemeinen Geschäftsbedingungen (Ziffer 10). Für den Ausgleich im Innenverhältnis gilt Artikel 82 Absatz 5 DSGVO.

18. Änderungen und Fassungen

18.1 Jede Fassung dieses Vertrags trägt eine Nummer und ein Datum. Ändert sich der Wortlaut, zeigt die Software die neue Fassung mit einer Liste der Änderungen an, und die weitere Nutzung setzt die erneute Zustimmung voraus. Änderungen der Anlagen nach Ziffer 9.2 und 10.2 sind keine Änderung dieses Vertrags im Sinne von Satz 2.

18.2 Zustimmen können Inhaber und Administratoren des Arbeitsbereichs im Namen des Kunden. Gespeichert werden Fassung, ein Fingerabdruck des Wortlauts, handelnde Person, E-Mail-Adresse und Zeitpunkt. Der Kunde erhält eine Bestätigung per E-Mail und kann die Zustimmungen in der Software unter Einstellungen, Verträge einsehen.

18.3 Änderungen bedürfen der Textform. Die Zustimmung in der Software genügt der Textform.

19. Schlussbestimmungen

19.1 Es gilt deutsches Recht. Gerichtsstand ist Köln, soweit der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

19.2 Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam. An ihre Stelle tritt eine Regelung, die den Anforderungen der DSGVO entspricht.

19.3 Ein zuvor mit Tobias Nase als Einzelunternehmer geschlossener Vertrag zur Auftragsverarbeitung geht mit der Zustimmung zu dieser Fassung mit allen Rechten und Pflichten auf die Tobias Nase GmbH über.

Anlage 1: Technische und organisatorische Maßnahmen

Gegliedert nach Artikel 32 Absatz 1 DSGVO. Stand 03.10.2026.

A. Pseudonymisierung und Verschlüsselung

• Übertragung ausschließlich über TLS.
• Speicherung verschlüsselt beim Betreiber der Datenbank.
• Hochgeladene Unterlagen werden zusätzlich in einen getrennten Objektspeicher gesichert und vorher mit einem Schlüssel verschlüsselt, über den nur der Auftragsverarbeiter verfügt. Der Betreiber des Objektspeichers hat keinen Zugang dazu.
• Die Dateinamen der Sicherung sind Prüfsummen ohne Rückschluss auf Kunde, Person oder Inhalt. Das Verzeichnis, das die Zuordnung herstellt, liegt ebenfalls verschlüsselt.

B. Vertraulichkeit

• Zutritt: Die Daten liegen ausschließlich in Rechenzentren der Unterauftragsverarbeiter aus Anlage 2; eigene Server für Daten des Kunden betreibt der Auftragsverarbeiter nicht. Der Betreiber der Datenbank ist nach ISO 27001 zertifiziert und nach SOC 2 Typ 2 geprüft. Der physische Zutrittsschutz richtet sich nach dessen Maßnahmen.
• Zugang: Anmeldung mit E-Mail und Passwort, optional mit zweitem Faktor über eine Zeitcode-App. Der zweite Faktor wird in der Datenbank durchgesetzt, nicht nur in der Oberfläche. Für Zugänge des Auftragsverarbeiters mit erweiterten Rechten ist der zweite Faktor Pflicht.
• Zugriff: Mandantentrennung auf Datenbankebene über Row Level Security. Jede fachliche Tabelle trägt eine Mandantenkennung, jede Zugriffsregel prüft sie. Vier Rollen je Arbeitsbereich mit abgestuften Rechten; Guthaben und Abrechnung nur für Inhaber und Administratoren.
• Zugriffe des Auftragsverarbeiters auf Arbeitsbereiche nur über benannte Funktionen mit Zweckangabe, gesondert protokolliert. Ein allgemeiner Lesezugriff auf Kundendaten besteht nicht.
• Trennung: Testdaten werden nicht aus Betriebsdaten erzeugt. Die Mandantentrennung wird vor jeder Auslieferung mit einem Negativtest über zwei Mandanten geprüft.
• Personal: Verpflichtung auf Vertraulichkeit vor Beginn der Tätigkeit nach Ziffer 8.

C. Integrität

• Jede zustandsverändernde Aktion wird mit Zeitpunkt, handelnder Stelle und Art der Änderung protokolliert. Das Protokoll ist nur anfügbar und nachträglich nicht veränderbar.
• Weitergabe an Dritte nur über die in Anlage 2 genannten Wege.

D. Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung der Datenbank durch ihren Betreiber, aufbewahrt für 7 Tage.
• Sicherung der Unterlagen in einem getrennten Objektspeicher. Der Sicherungsvorgang kann nur schreiben, nie löschen. Der Speicher ist 30 Tage gegen Löschen und Überschreiben gesperrt.
• Fehlgeschlagene Zustellungen sowie ausbleibende oder fehlgeschlagene Hintergrundläufe werden alle fünf Minuten geprüft und gemeldet, über einen vom überwachten Versandweg unabhängigen Kanal und über einen externen Dienst, der auch beim Ausfall der Überwachung selbst Alarm gibt. Personenbezogene Daten werden dabei nicht übermittelt.

E. Wiederherstellung

• Die Wiederherstellung der Unterlagen wird geprüft: Eine Datei wird aus der Sicherung zurückgeholt, entschlüsselt und ihre Prüfsumme mit der des Originals verglichen.
• Die Datenbank lässt sich aus den täglichen Sicherungen des Betreibers der Datenbank wiederherstellen.

F. Regelmäßige Überprüfung

• Die Mandantentrennung wird vor jeder Auslieferung automatisch geprüft (Abschnitt B).
• Die Sicherheitshinweise des Betreibers der Datenbank werden bei jeder Änderung an der Datenbank ausgewertet.
• Diese Anlage und Anlage 2 werden bei jeder Änderung an Diensten oder Datenwegen überprüft, mindestens einmal im Jahr.

G. Verfahren bei Vorfällen

• Verletzungen des Schutzes personenbezogener Daten werden nach Ziffer 14 gemeldet, eingedämmt und dokumentiert.

Anlage 2: Unterauftragsverarbeiter

Stand 14.10.2026. Änderungen nach Ziffer 10.2.

A. Unterauftragsverarbeiter

Der fachliche Datenverkehr der Software, also Leads, Unterlagen, Anmeldedaten und Dateien, läuft über eine eigene Adresse unmittelbar zur Datenbank und weder über Cloudflare noch über Vercel.

B. Keine Unterauftragsverarbeitung

• Stripe: Zahlungsabwicklung als eigenständig Verantwortlicher.
• Eigene Konten des Kunden: E-Mail-Postfach und Kalender (etwa Google oder Microsoft), Terminwerkzeuge (etwa Calendly oder Cal.com): Vom Kunden selbst gewählt, eigenes Vertragsverhältnis (Ziffer 10.6).
• KI-Assistenten und andere Werkzeuge des Kunden über MCP-Zugang oder Programmierschnittstelle (etwa Anthropic, OpenAI): Vom Kunden selbst gewählt und angebunden (Ziffer 10.7).
• n8n (vom Auftragsverarbeiter selbst betrieben): Erhält keine Inhaltsdaten des Kunden. Bei der Registrierung gehen nur Name und E-Mail-Adresse des Registrierenden darüber, für die der Auftragsverarbeiter selbst verantwortlich ist.
• Intercom (Support-Chat und Hilfe-Center, vom Auftragsverarbeiter für die eigene Betreuung der Nutzer eingesetzt): Erhält Kennung, Name und E-Mail-Adresse des angemeldeten Nutzers sowie Kennung und Name des Arbeitsbereichs, keine Inhaltsdaten des Kunden. Für diese Angaben und die Inhalte des Chats ist der Auftragsverarbeiter selbst verantwortlich (Ziffer 3.10).