← Zurück zur Startseite

Auftragsverarbeitung nach Art. 28 DSGVO

Datum der Veröffentlichung der aktuellen Version: 29.07.2026

Der Verantwortliche
[Name und Anschrift des Kunden]
(im Folgenden Auftraggeber)

Der Auftragsverarbeiter
MINT Kooperative eG
Am Sportplatz 22, 07552 Gera, Deutschland
Vertreten durch den Vorstand: Ronny Elsner
(im Folgenden Auftragnehmer)

1. HINTERGRUND UND SPEZIFIKATION DER DATENVERARBEITUNG

1.1 Der Auftragnehmer ist ein Unternehmen, welches folgende Leistungen anbietet:

  • Konfigurieren, Verwalten und Bereitstellen eines KI-Telefonie-Assistenten über die B2B fonio.ai Web-App
  • Individuelle Einrichtung, Anpassung und Betreuung des KI-Voiceagents für den Auftraggeber

1.2 Der Auftraggeber ist ein Unternehmen, welches plant, die Dienstleistungen des Auftragnehmers in den genannten Bereichen in Anspruch zu nehmen.

1.3 Diese Auftragsverarbeitungs-Vereinbarung legt die Bedingungen für die Verarbeitung personenbezogener Daten durch den Auftragnehmer unter Billigung des Auftraggebers in Übereinstimmung mit der Datenschutzgrundverordnung (DSGVO) fest. Der Auftragnehmer handelt als Auftragsverarbeiter im Sinne der DSGVO.

2. ART, ZWECK, GEGENSTAND UND RECHTSGRUNDLAGE DER DATENVERARBEITUNG

2.1 Die Leistungen des Auftragnehmers sind in den Allgemeinen Geschäftsbedingungen (AGB) des Auftragnehmers, aufrufbar unter agb.html, beschrieben.

2.2 Im Zuge der Leistungserbringung stellt der Auftraggeber dem Auftragnehmer die für die Leistungserbringung erforderlichen personenbezogenen Daten auf dem jeweils für den konkreten Fall geeigneten Weg zur Verfügung. Beispielsweise auf elektronischem oder physischem Weg, über Gespräche und Analysen, der Ausübung anderer vertraglich geregelter Tätigkeiten, auf mündlichem Weg oder über Software-Tools.

2.3 Die Verarbeitung personenbezogener Daten kann insbesondere durch Organisation, Ordnen, Speicherung sowie gegebenenfalls Anpassung oder Veränderung, Abfragen, Verknüpfung, Einschränkung, Löschen, Kombination, Kopieren, Ausblenden, Verbindung, Analyse, Lesen, Empfangen, Senden, Aktualisierung erfolgen, soweit dies jeweils für die Erbringung der vereinbarten Leistungen erforderlich ist.

2.4 Der Zweck der Verarbeitung besteht in der vertraglich festgelegten Leistungserbringung gegenüber dem Auftraggeber.

2.5 Der Auftragnehmer ist nicht verpflichtet, die Rechtmäßigkeit der zugrundeliegenden Datenverarbeitungen des Auftraggebers zu prüfen.

3. BETROFFENE PERSONENBEZOGENE DATEN UND KATEGORIE BETROFFENER PERSONEN

3.1 Im Rahmen der vereinbarten Leistungen können die personenbezogenen Daten verarbeitet werden, die für die Leistungserbringung erforderlich sind. Insbesondere können das die folgenden Daten sein:

  • Daten im Zusammenhang mit der Servicequalität
  • Rechnungsdaten
  • Telefonnummern
  • Verhaltensbezogene Daten
  • Kontaktdaten
  • Daten zum Nutzerverhalten und Interaktionen
  • Geräte-Informationen
  • Identifikations-Daten
  • Technische Zugangsdaten (zum Beispiel API-Keys)
  • Telefonkonversationsdaten
  • Terminbezogene Daten
  • Konfigurationsdaten
  • Audio Sprachdaten
  • Browser-Informationen
  • Informationen, welche Sie uns per E-Mail übermitteln
  • Kommunikationsdaten
  • Technische Informationen
  • Informationen, welche Sie als Freitext zur Verfügung stellen
  • Zahlungsdaten
  • Log-Daten
  • Telefonie-Metadaten
  • IP Adresse
  • Persönliche Präferenzen
  • Cookies und ähnliche Technologien
  • KI-Prompts und andere KI-bezogene Informationen
  • Fehlerbezogene technische Daten
  • Authentifizierungsdaten
  • Kontaktdaten (bei personalisierten Inhalten)
  • Für Fehleranalyse relevantes Nutzerverhalten
  • Abodaten
  • Transaktionsdaten

3.2 Von der Verarbeitung sind grundsätzlich alle für die Erbringung der vereinbarten Leistungen notwendigen besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) umfasst. Insbesondere können die folgenden besonderen Kategorien von personenbezogenen Daten im Rahmen der vereinbarten Leistungserbringung (zum Beispiel für Arztpraxen) verarbeitet werden:

  • Gesundheitsdaten

3.3 Von der Verarbeitung sind grundsätzlich alle für die Erbringung der vereinbarten Leistungen notwendigen Kategorien von Betroffenen erfasst. Insbesondere fallen darunter die folgenden Kategorien betroffener Personen:

  • Kunden
  • Kunden des Kunden
  • Mitarbeiter des Kunden
  • Unter Vertrag stehende Dritte des Kunden

3.4 Angesichts der Art der vereinbarten Leistungen erkennt der Auftraggeber an, dass der Auftragnehmer die Liste der Kategorien betroffener Personen weitgehend weder überprüfen noch pflegen kann. Daher verpflichtet sich der Auftraggeber, den Auftragnehmer über alle erforderlichen Änderungen an der Liste der Kategorien betroffener Personen zu informieren.

3.5 Der Auftragnehmer wird die personenbezogenen Daten des Auftraggebers im Hinblick auf alle vorstehend aufgeführten betroffenen Personen in Übereinstimmung mit den vereinbarten Leistungen verarbeiten. Falls aufgrund von Änderungen an der Liste der Kategorien betroffener Personen Änderungen an den vereinbarten Verarbeitungen erforderlich werden, wird der Auftraggeber dem Auftragnehmer dementsprechende zusätzliche Weisungen erteilen.

4. BEDINGUNGEN DER DATENVERARBEITUNG

4.1 Der Auftragnehmer verpflichtet sich, während der gesamten Leistungserbringung sämtliche Vorgaben der DSGVO einzuhalten.

4.2 Der Auftragnehmer verpflichtet sich, personenbezogene Daten nur auf schriftliche Anweisung in Form eines Vertrags mit dem Auftraggeber zu verarbeiten. Abweichungen von diesen Weisungen bedürfen der vorherigen schriftlichen Zustimmung des Auftraggebers.

4.3 Der Auftragnehmer verarbeitet die personenbezogenen Daten nach dem Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit c DSGVO und daher nur so weit, als dies zur Erbringung der vereinbarten Leistungen erforderlich ist.

4.4 Der Zugriff auf personenbezogene Daten des Auftraggebers wird ausschließlich jenen Personen erteilt, welche diesen Zugriff aufgrund vertraglicher oder gesetzlicher Bestimmungen benötigen.

4.5 Alle Personen aufseiten des Auftragnehmers, welche Zugriff auf personenbezogene Daten des Auftraggebers haben, sind zur Verschwiegenheit zu verpflichten. Insbesondere bleibt die Verschwiegenheitspflicht der mit dem Datenverkehr beauftragten Personen auch nach Beendigung ihrer Tätigkeit und Ausscheiden beim Auftragnehmer aufrecht.

4.6 Der Auftragnehmer ist verpflichtet, alle geeigneten, angemessenen und dem Stand der Technik entsprechenden technischen und organisatorischen Maßnahmen zu ergreifen und aufrechtzuerhalten, um die Verfügbarkeit, Vertraulichkeit und Integrität der personenbezogenen Daten zu gewährleisten. Eine Liste der vereinbarten technischen und organisatorischen Maßnahmen ist dieser Auftragsverarbeitungs-Vereinbarung im Anhang 1 beigefügt.

4.7 Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung seiner Verpflichtungen aus der DSGVO, insbesondere in Bezug auf die Rechte der betroffenen Personen.

4.8 Sofern gesetzliche Bestimmungen nicht entgegenstehen, wird der Auftragnehmer den Auftraggeber unverzüglich informieren, wenn er eine Information oder Mitteilung einer betroffenen Person, der Datenschutzaufsichtsbehörde oder einer sonstigen Behörde oder eines Dritten erhält und diese Information oder Mitteilung in unmittelbarem oder mittelbarem Zusammenhang mit der Verarbeitung personenbezogener Daten im Rahmen dieser Auftragsverarbeitungs-Vereinbarung steht.

4.9 Im Zusammenhang mit der beauftragten Datenverarbeitung wird der Auftragnehmer den Auftraggeber – soweit gesetzlich erforderlich – bei der Erstellung und Aktualisierung des Verzeichnisses der Verarbeitungstätigkeiten, bei der Durchführung der Datenschutz-Folgeabschätzung sowie gegebenenfalls bei vorherigen Konsultationen mit der Datenschutzaufsichtsbehörde iSv Art. 36 DSGVO unterstützen und alle dafür notwendigen Angaben machen und Informationen erteilen. Darüber hinaus wird der Auftragnehmer ein eigenes Verzeichnis der Verarbeitungstätigkeiten führen und, sofern erforderlich, Datenschutz-Folgenabschätzungen vornehmen und einen Datenschutzbeauftragten bestellen.

4.10 Der Auftragnehmer hat den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden, zu informieren, wenn die an ihn überlassenen personenbezogenen Daten unrechtmäßig verwendet wurden und/oder den Betroffenen Schaden droht. Er stellt dem Auftraggeber alle notwendigen Informationen zur Verfügung, damit der Auftraggeber seinen Meldepflichten gegenüber den betroffenen Personen gemäß den Datenschutzgesetzen nachkommen kann.

4.11 Jede Übermittlung von personenbezogenen Daten durch den Auftragnehmer an ein Drittland oder eine internationale Organisation erfolgt im Einklang mit dem Unions- oder nationalem Recht und muss insbesondere mit den Bestimmungen der DSGVO im Einklang stehen.

4.12 Die Parteien können in Anhang 2 weitere Klauseln zur Erbringung der Dienstleistung der Verarbeitung personenbezogener Daten vereinbaren, sofern diese weder direkt noch indirekt im Widerspruch zu dieser Auftragsverarbeitungs-Vereinbarung stehen oder die Grundrechte oder Grundfreiheiten der betroffenen Person und den durch die DSGVO gewährten Schutz beeinträchtigen.

4.13 Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, falls er der Ansicht ist, eine Weisung des Auftraggebers verstößt gegen Datenschutzbestimmungen der Union oder der Mitgliedstaaten.

5. SUB-AUFTRAGSVERARBEITER

5.1 Je nach vertraglich vereinbarter Leistungserbringung wird eine spezifische Liste zugelassener Subauftragsverarbeiter in die Datenverarbeitung einbezogen.

5.2 Durch die Nutzung von Subauftragsverarbeitern kann eine Datenübertragung in Drittländer erfolgen. Der Auftragnehmer stellt sicher, dass bei einer Übermittlung personenbezogener Daten in Drittländer die Anforderungen der Art. 44–49 DSGVO eingehalten werden und informiert den Auftraggeber über die jeweils eingesetzten Garantien (z. B. Standardvertragsklauseln, Angemessenheitsbeschluss).

5.3 Die folgenden Subauftragsverarbeiter sind vom Auftraggeber zugelassen und an der Erbringung der vertraglich vereinbarten Leistungen beteiligt:

  • fonio GmbH, Neustiftgasse 73-75/3/7, 1070 Wien, Österreich

5.4 Zwischen dem Auftragnehmer und dem Subauftragsverarbeiter muss ein Vertrag gemäß Art. 28 Abs. 4 DSGVO geschlossen werden. Der Subauftrag muss den datenschutzrechtlichen Bestimmungen im selben Umfang Rechnung tragen, wie diese zwischen dem Auftraggeber und dem Auftragnehmer in dieser Vereinbarung vereinbart wurden, und die Datenverarbeitung darf nur zu dem in der jeweils gesondert beauftragten Leistung angegebenen Zweck erfolgen.

5.5 Der Auftragnehmer hat die Subauftragsverarbeiter regelmäßig auf die Einhaltung der nach dieser Auftragsverarbeitungsvereinbarung geltenden Datenschutzpflichten zu prüfen. Sollte dem Auftragnehmer im Rahmen dieser Prüfung zur Kenntnis gelangen, dass der Subauftragsverarbeiter die ihm nach dieser Auftragsverarbeitungsvereinbarung treffenden Datenschutzpflichten nicht oder nicht ausreichend erfüllt, hat er den Auftraggeber unaufgefordert und umgehend darüber zu informieren.

5.6 Die Weitervergabe an Subauftragsverarbeiter oder die Änderung der bestehenden Subauftragsverarbeiter sind zulässig, sofern:

  • der Auftragnehmer eine solche Weitervergabe an Subauftragsverarbeiter mindestens zwei Wochen im Voraus schriftlich oder in Textform ankündigt und
  • der Auftraggeber bis zum Zeitpunkt der Übermittlung der Daten an den Auftragnehmer schriftlich oder in Textform keine Einwände gegen die geplante Auslagerung erhebt. Im Falle eines Widerspruchs gegen die geplante Einbindung eines Subauftragsverarbeiters darf dieser nicht eingesetzt werden, solange keine Einigung erzielt wurde.

6. PRÜFUNG UND EINHALTUNG

6.1 Der Auftragnehmer gestattet dem Auftraggeber oder den von ihm benannten Vertretern die Durchführung von Audits und Inspektionen, um die Einhaltung der Bestimmungen dieser Auftragsverarbeitungsvereinbarung zu überprüfen. Solche Audits sind mit angemessener Vorankündigung durchzuführen und dürfen den Betrieb des Auftragnehmers nicht unangemessen beeinträchtigen. Es ist dem Auftraggeber bekannt, dass allfällige Inspektionen bei Sub-Auftragsverarbeitern direkt mit diesen abzustimmen sind und der Auftragnehmer keinen Einfluss auf die dabei angewendeten Bestimmungen hat. Die Kosten der Durchführung des Audits trägt der Auftraggeber, es sei denn, das Audit deckt einen schwerwiegenden Verstoß des Auftragnehmers gegen diese AVV auf.

6.2 Alle externen Prüfer unterliegen einer Vertraulichkeitsvereinbarung.

6.3 Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zur Verfügung und arbeitet mit ihm zusammen, um die Einhaltung der DSGVO nachzuweisen.

7. LAUFZEIT UND VERTRAGSENDE

7.1 Diese Auftragsverarbeitungs-Vereinbarung bleibt für die Dauer der Datenverarbeitungstätigkeiten in Kraft und endet mit dem Abschluss der Leistungserbringung oder wie von den Parteien anderweitig vereinbart.

7.2 Bei Beendigung der Auftragsverarbeitungs-Vereinbarung (oder auch jederzeit vorher über entsprechendes Verlangen des Auftraggebers) wird der Auftragnehmer die verarbeiteten personenbezogenen Daten (einschließlich allfälliger Kopien) nach freier Wahl des Auftraggebers entweder selbst vernichten oder zur Gänze an den Auftraggeber übergeben, sofern dem keine gesetzlichen oder vertraglichen Pflichten zur Aufbewahrung entgegensteht. Bis zur Löschung oder Rückgabe der Daten gewährleistet der Auftragsverarbeiter weiterhin die Einhaltung aller Vorgaben. Sollte sich der Auftraggeber hinsichtlich der Vorgehensweise nicht äußern, wird der Auftragnehmer die Daten, vorbehaltlich von gesetzlichen oder vertraglichen Pflichten zur Aufbewahrung, sechs Monate nach Beendigung der Vereinbarung vernichten.

7.3 Der Auftragnehmer ist gleichermaßen verpflichtet, die Vernichtung oder Übergabe durch allfällige Sub-Auftragsverarbeiter herbeizuführen.

8. SCHLUSSBESTIMMUNGEN

8.1 Änderungen und Ergänzungen dieser Auftragsverarbeitungs-Vereinbarung und aller ihrer Bestandteile bedürfen einer schriftlichen Vereinbarung, die auch in elektronischer Form (Textform) erfolgen kann, sowie der ausdrücklichen Angabe, dass es sich um eine Änderung oder Ergänzung dieser Auftragsverarbeitungs-Vereinbarung handelt. Dies gilt auch für den Verzicht auf diese Formvorschrift.

8.2 Diese Auftragsverarbeitungs-Vereinbarung unterliegt dem geltenden Recht der Bundesrepublik Deutschland und ist nach diesem auszulegen. Gerichtsstand ist Gera.

8.3 Sollten einzelne Bestimmungen dieser Auftragsverarbeitungs-Vereinbarung ungültig oder undurchsetzbar sein oder werden, so bleibt der Rest der Auftragsverarbeitungs-Vereinbarung davon unberührt. Diese Bestimmungen gelten als durch gültige und durchsetzbare Regelungen ersetzt, die den von den Vertragsparteien beabsichtigten, wirtschaftlichen Zweck am ehesten erreichen.

Für den Auftraggeber:
........................................................................................... Ort, Datum, Unterschrift, Name und Funktion

Für den Auftragnehmer (MINT Kooperative eG):
........................................................................................... Ort, Datum, Unterschrift, Name und Funktion

Anhang 1: Technische und organisatorische Maßnahmen

Technische Maßnahmen

  • Betrieb in einem ISO27001-zertifizierten Rechenzentrum: Die fonio-App wird in einem ISO27001-zertifizierten Rechenzentrum betrieben.
  • Physische Sicherheit / Zutrittskontrolle zu Büroräumen: Büroräume sind angemessen gegen unbefugten Zutritt geschützt, außerhalb der Geschäftszeiten geschlossen und Besucher dürfen diese nur in ständiger Begleitung betreten.
  • Strikte Trennung von Produktions- und Testumgebungen: Produktions- und Testumgebungen sind sowohl logisch als auch infrastrukturell strikt voneinander getrennt. Die Verarbeitung tatsächlicher Produktionsdaten in Staging-Umgebungen ist strengstens untersagt. Sofern Daten für Testzwecke benötigt werden, müssen sie vollständig anonymisiert oder synthetische Daten verwendet werden.
  • Firewalls: Firewalls überwachen und kontrollieren den ein- und ausgehenden Netzwerkverkehr und erlauben nur notwendige, explizit autorisierte Verbindungen.
  • Netzwerkprotokolle und -konfigurationen nach dem Stand der Technik: Sichere, dem Stand der Technik entsprechende Netzwerkprotokolle und -konfigurationen werden als Härtungsmaßnahmen eingesetzt, um Daten während der Übertragung zu schützen.
  • Netzwerküberwachung: Netzwerkaktivitäten werden kontinuierlich überwacht, um Sicherheitsbedrohungen zu erkennen und darauf zu reagieren.
  • Systemhärtung: Härtungsmaßnahmen werden für alle relevanten Systeme durch eine sichere Konfiguration auf Grundlage von CIS-Benchmarks und/oder den Empfehlungen des Anbieters umgesetzt.
  • Malwareschutz: Es wurden Anti-Malware-Maßnahmen implementiert, um Systeme und Daten vor bösartiger Software zu schützen, inklusive Überwachung und Bearbeitung von Warnmeldungen.
  • Patch-Management-Prozess: Alle Software- und Hardwarekomponenten werden regelmäßig über einen dedizierten Patch-Management-Prozess aktualisiert, mindestens einmal pro Quartal sowie unverzüglich bei kritischen Schwachstellen.
  • Identity & Access Management (IAM) und Lifecycle-Prozesse: Ein zentralisiertes IAM-System ist zusammen mit einem strukturierten „Joiner-Mover-Leaver“-Prozess (JML) implementiert. Bei Beendigung des Arbeits- oder Vertragsverhältnisses werden alle Zugriffsberechtigungen automatisch und unverzüglich entzogen.
  • Berechtigungskonzept: Strenge Zugriffskontrollen nach den Prinzipien „Need-to-Know“ und „Least Privilege“, Multi-Faktor-Authentifizierung (MFA), obligatorische Passwortmanager und zufällig generierte Passwörter mit mindestens 20 Zeichen. Administrative Rechte werden nach dem Vier-Augen-Prinzip vergeben und überwacht.
  • Beschränkung administrativer Tätigkeiten auf qualifiziertes Personal: Nur speziell geschultes, qualifiziertes und autorisiertes Personal darf administrative Aufgaben an Infrastrukturkomponenten durchführen.
  • Sessionmanagement und automatisches Timeout: Benutzer- und Administratorsitzungen werden nach einer vordefinierten Inaktivitätsdauer automatisch beendet.
  • Umgang mit Anmeldedaten und anderen sensiblen Informationen: Zwei-Faktor-Authentifizierung (2FA), Speicherung in einem Passwortmanager mit verschlüsselten Zugriffspunkten.
  • Passwort-Management-Tools: Verwendung von Passwort-Management-Tools zur Erstellung, Speicherung und Verwaltung sicherer Passwörter gemäß interner Passwortrichtlinien.
  • Datenverschlüsselung: Gespeicherte Daten (Data at Rest) und Daten während der Übertragung (Data in Transit) werden gemäß bewährten Industriepraktiken verschlüsselt.
  • Pseudonymisierung von Daten: Techniken zur Pseudonymisierung personenbezogener Daten werden eingesetzt, um das Risiko von Datenschutzverletzungen zu verringern.
  • Protokollierung (Audit Logs): Audit-Logs zeichnen auf, wer wann auf welche personenbezogenen Daten zugegriffen hat. Sicherheitsrelevante Protokolle werden unveränderlich gespeichert.
  • Regelmäßige Backups: Daten werden regelmäßig gesichert, wo dies notwendig und angemessen ist, um Datenverlust zu verhindern.
  • Automatisiertes Scannen auf Schwachstellen: Automatisierte interne und externe Schwachstellenscans werden regelmäßig über alle Infrastrukturkomponenten, Anwendungen und Netzwerksegmente hinweg durchgeführt.
  • Penetrationstests: Es werden regelmäßig Penetrationstests durchgeführt, um potenzielle Schwachstellen in Systemen zu identifizieren.

Organisatorische Maßnahmen

  • Informationssicherheitsrichtlinien: Informationssicherheitsrichtlinien sind ausgerollt und werden regelmäßig überprüft und aktualisiert.
  • Datenschutzbeauftragter (DSB): Ein Datenschutzbeauftragter wurde bestellt, um die Einhaltung der DSGVO zu überwachen.
  • Privacy by Design und Privacy by Default: Die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen werden eingehalten.
  • Grundsatz der Datenminimierung: Es werden nur die personenbezogenen Daten erhoben, die zur Erbringung des Dienstes erforderlich sind.
  • Verzeichnis von Verarbeitungstätigkeiten (VVT): Es wird ein DSGVO-konformes Verzeichnis von Verarbeitungstätigkeiten geführt, das alle relevanten Verarbeitungsvorgänge, Datenflüsse, beteiligte Dritte und Rechtsgrundlagen dokumentiert.
  • Datenschutz-Folgenabschätzungen (DSFA) & Transfer Impact Assessments (TIA): Es werden regelmäßige DSFA sowie TIAs durchgeführt, um Risiken bei Verarbeitung und Übermittlung zu identifizieren und zu mindern.
  • Risikomanagement für Dienstleister / AVV: Überprüfungen der Informationssicherheit von Auftragsverarbeitern und Abschluss von Auftragsverarbeitungsverträgen zur Einhaltung von Sicherheitsstandards.
  • Verfahren zum Umgang mit Betroffenenrechten: Ein standardisierter Workflow stellt sicher, dass Anfragen betroffener Personen (Auskunft, Berichtigung, Datenübertragbarkeit) innerhalb der gesetzlichen Fristen erfüllt werden.
  • Mitarbeiterschulungen: Mitarbeiter erhalten regelmäßige Schulungen zum Datenschutz und zur Einhaltung der DSGVO.
  • Kampagnen zur Sensibilisierung für Informationssicherheit: Regelmäßige Awareness-Schulungen zu Cyberbedrohungen wie Phishing, Social Engineering und Malware.
  • Secure-Coding-Schulungen für Entwickler: Softwareentwicklern werden regelmäßig Sicherheitsschulungen angeboten, um sichere Programmierpraktiken zu gewährleisten.
  • Löschverfahren (Datenaufbewahrung und -löschung): Auf der Grundlage eines Datenlöschkonzepts werden personenbezogene Daten automatisch gelöscht – sofern gesetzlich zulässig –, sobald der Zweck der Leistungserbringung erfüllt ist oder die betroffene Person dies ausdrücklich verlangt.
  • Reaktionsplan für Sicherheitsvorfälle (Incident Response Plan): Ein detaillierter Reaktionsplan wurde erstellt, um potenzielle Datenschutzverletzungen oder Cybersicherheitsvorfälle zu bewältigen.
  • Meldeverfahren für Datenschutzverletzungen: Ein Verfahren zur Meldung von Datenschutzverletzungen ist eingerichtet, um betroffene Personen, Aufsichtsbehörden sowie andere relevante Parteien zu informieren.
  • Regelmäßige Überprüfung der Datenschutzpraktiken: Die Datenschutzmanagementpraktiken werden in regelmäßigen Abständen überprüft, Abweichungen werden bewertet und behoben.

Anhang 2: Ergänzende Bestimmungen

  • Personenbezogene Daten werden weder durch den Auftragnehmer noch durch dessen Subprozessoren zum Training, zur Verbesserung oder zur Evaluierung von KI-Modellen verwendet.