Vereinbarung zur Auftragsverarbeitung nach Artikel 28 DSGVO

Version 1.7, Fassung 2026110801, Stand 08.11.2026

zwischen

dem Auftraggeber, der in dem Auftrag nach Ziffer 1.1 genannt ist, im Folgenden "Auftraggeber oder Partei 1",

und

inducio GmbH, Kotzinger Str. 21, 83278 Traunstein, im Folgenden "Auftragnehmer oder Partei 2",

zusammen die "Parteien", jede einzelne eine "Partei".

Geschlechtsbezogene Formulierungen gelten für Frauen und Männer gleichermaßen.

Präambel

Die Parteien haben vereinbart, dass der Auftragnehmer gegenüber dem Auftraggeber Dienst- und/oder Werkleistungen erbringt, die auch die Verarbeitung personenbezogener Daten im Auftrag des Auftraggebers umfassen können. Dieser Auftragsverarbeitungsvertrag ("AVV") konkretisiert die sich aus der Beauftragung des Auftragnehmers ergebenden datenschutzrechtlichen Pflichten wie folgt:

1. Verarbeitung personenbezogener Daten

1.1 Die Parteien haben vereinbart, dass der Auftragnehmer Dienst- und/oder Werkleistungen aufgrund des Auftrags erbringt, den der Auftraggeber nach §2a der Allgemeinen Geschäftsbedingungen des Auftragnehmers angenommen hat (nachstehend "Referenzvertrag"). Der Referenzvertrag nennt diesen AVV mit Version, Stand und der Adresse, unter der er abrufbar ist, und bezieht die Allgemeinen Geschäftsbedingungen des Auftragnehmers in der dort genannten Fassung ein, abrufbar unter https://inducio-services.net/agb/ mit der Nummer der Fassung. Weitere Aufträge, die auf diesen AVV Bezug nehmen, sind Teil des Referenzvertrags.

1.2 Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten des Auftraggebers (nachstehend "Daten") durch den Auftragnehmer im Auftrag des Auftraggebers in dem zur Leistungserbringung nach dem Referenzvertrag erforderlichen Umfang.

1.3 Die Art und den Zweck der vorgesehenen Verarbeitung von Daten, die Art der Daten und die Kategorien der betroffenen Personen legt Anlage A1 zu diesem AVV ("AVV Leistungsbeschreibung") für jede Leistungsart des Auftragnehmers fest. Welche Leistungsarten der Auftraggeber bezieht, ergibt sich aus dem Referenzvertrag. Für die übrigen Leistungsarten gilt Anlage A1 nicht. Ergänzend gilt die Anlage A als Besondere Vertragsbedingungen für Datenverarbeitung im Auftrag ("BVB AVV"), die diesem AVV beigefügt ist. Die BVB AVV sind die Standardvertragsklauseln der Europäischen Kommission nach Artikel 28 Absatz 7 DSGVO (Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021). Die vereinbarte Liste der Unterauftragsverarbeiter nach Klausel 7.7 der BVB AVV steht in Anlage A2 ("Liste der Unterauftragsverarbeiter"). Die durch den Auftragnehmer ergriffenen technischen und organisatorischen Maßnahmen (TOMs) beschreibt Anlage A3 ("TOM"). Sie sind gemäß der internationalen Normen ISO/IEC 27001:2022 und ISO/IEC 27002:2022 (deutsche Fassungen: DIN EN ISO/IEC 27001:2024-01 und DIN EN ISO/IEC 27002:2024-01) beschrieben und in der jeweils geltenden Fassung unter https://inducio-services.net/toms (englische Seite: https://inducio-services.net/en/toms) veröffentlicht.

1.4 Die Rechte und Pflichten der Parteien nach Artikel 28 Absatz 3 und 4 DSGVO regelt die BVB AVV, und zwar insbesondere: die Verarbeitung nur auf dokumentierte Weisung, auch für Übermittlungen in Drittländer (Klauseln 7.1 und 7.8), die Vertraulichkeit der befugten Personen (Klausel 7.4 Buchstabe b), die Sicherheit der Verarbeitung nach Artikel 32 DSGVO (Klausel 7.4 Buchstabe a mit Anhang III), den Einsatz von Unterauftragsverarbeitern (Klausel 7.7), die Unterstützung bei Anträgen betroffener Personen und bei den Pflichten nach Artikel 32 bis 36 DSGVO (Klauseln 8 und 9), die Löschung oder Rückgabe der Daten nach Ende der Verarbeitung (Klausel 10 Buchstabe d) sowie Nachweise, Überprüfungen und den Hinweis auf rechtswidrige Weisungen (Klauseln 7.6 und 7.1 Buchstabe b). Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen ergeben sich aus diesem AVV und der Anlage A1.

2. Abschluss und Vertragsdauer

2.1 Dieser AVV kommt zwischen den Parteien zustande, wenn der Auftraggeber den Referenzvertrag annimmt, der diesen AVV nach Ziffer 1.1 nennt. Die Annahme erfolgt nach §2a der Allgemeinen Geschäftsbedingungen des Auftragnehmers durch elektronische Unterzeichnung des Auftrags oder durch Erklärung in Textform. Einer gesonderten Unterzeichnung dieses AVV bedarf es nicht. Die Vereinbarung liegt damit in elektronischem Format im Sinne von Artikel 28 Absatz 9 DSGVO vor. Auf Wunsch des Auftraggebers unterzeichnen die Parteien die geltende Fassung zusätzlich ohne inhaltliche Abweichung.

2.2 Der Auftragnehmer hält zu jedem Referenzvertrag fest, welche Fassung dieses AVV und seiner Anlagen bei der Annahme galt, mit Version, Stand und Prüfsumme. Ebenso hält er jede spätere Fassung nach Ziffer 3.3 und Ziffer 3.4 mit dem Tag ihrer Veröffentlichung und ihres Wirksamwerdens fest. Auf Verlangen stellt er dem Auftraggeber diese Angaben und die für ihn geltende Fassung in Textform bereit.

2.3 Dieser AVV gilt, solange der Auftragnehmer Daten im Auftrag des Auftraggebers verarbeitet, auch über das Ende des Referenzvertrags hinaus. Er endet, wenn der Auftragnehmer alle Daten nach Klausel 10 Buchstabe d BVB AVV gelöscht oder zurückgegeben hat.

2.4 Dieser AVV kann nicht gesondert gekündigt werden, weder ordentlich noch unabhängig vom Referenzvertrag. Die Rechte der Parteien nach Klausel 10 BVB AVV bleiben unberührt.

3. Anlagen, Änderungen, Schlussbestimmungen

3.1 Dieser AVV ersetzt einen zwischen den Parteien bestehenden AVV mit demselben Vertragsgegenstand.

3.2 Die Anlage A1 ("AVV Leistungsbeschreibung"), die BVB AVV (Anlage A), die Liste der Unterauftragsverarbeiter (Anlage A2) und die TOM (Anlage A3) sind diesem AVV beigefügt und integraler Bestandteil dieses Vertrages. Der Auftragnehmer veröffentlicht diesen AVV mit allen Anlagen als ein Dokument mit Version und Stand unter einer festen Adresse auf seiner Website. Frühere Fassungen bleiben dort abrufbar. Der Auftraggeber kann das Dokument vollständig herunterladen und ablegen, ohne etwas auszufüllen. Die Angaben, die nur ihn betreffen, stehen im Referenzvertrag.

3.3 Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragnehmer darf sie jederzeit ohne Zustimmung des Auftraggebers ändern, wenn das Schutzniveau nach Art. 32 DSGVO dabei nicht unterschritten wird (Art. 28 Abs. 3 Unterabs. 1 Buchst. c DSGVO). Ein Widerspruchsrecht des Auftraggebers besteht insoweit nicht. Eine gesonderte Mitteilung an den Auftraggeber erfolgt nicht. Maßgeblich ist die jeweils unter https://inducio-services.net/toms veröffentlichte Fassung, über die sich der Auftraggeber jederzeit selbst unterrichten kann. Anlage A3 gibt die bei Veröffentlichung dieses AVV geltende Fassung wieder. Der Auftragnehmer dokumentiert wesentliche Änderungen und stellt dem Auftraggeber frühere Fassungen auf Anfrage zur Verfügung. Änderungen der Liste der Unterauftragsverarbeiter (Anlage A2) richten sich nach Klausel 7.7 der BVB AVV. Der Zeitraum nach Klausel 7.7 Buchstabe a der BVB AVV beträgt vier Wochen. Die Unterrichtung geht in Textform an den Kontakt für Datenschutzfragen, den der Auftraggeber im Referenzvertrag genannt hat.

3.4 Ändert sich der Leistungsumfang des Referenzvertrags oder das Leistungsangebot des Auftragnehmers, passt der Auftragnehmer die AVV Leistungsbeschreibung (Anlage A1) durch eine neue Fassung an und teilt die geänderte Fassung dem Auftraggeber in Textform mit. Sie gilt als vereinbart, wenn der Auftraggeber nicht innerhalb von vier Wochen nach Zugang in Textform widerspricht. Auf diese Folge weist der Auftragnehmer in der Mitteilung hin. Die neue Fassung darf das Schutzniveau nach Art. 32 DSGVO nicht unterschreiten und die Rechte des Auftraggebers als Verantwortlicher nach Art. 28 DSGVO und nach der BVB AVV nicht einschränken.

3.5 Im Übrigen bedürfen Änderungen und Ergänzungen dieses AVV der Textform.

3.6 Sollten einzelne Bestimmungen rechtsunwirksam sein oder werden, berührt dies nicht die Wirksamkeit dieses Vertrages. Die unwirksame Bestimmung ist von den Parteien durch eine wirksame Bestimmung zu ersetzen, die dem mit der unwirksamen Bestimmung verfolgten wirtschaftlichen Zweck am nächsten kommt. Entsprechendes gilt für den Fall, dass die Regelungen dieses AVV eine von den Parteien nicht beabsichtigte Lücke aufweisen.

3.7 Im Übrigen gelten die Bestimmungen des Referenzvertrags, insbesondere zum anwendbaren Recht. Bei Widersprüchen zwischen diesem AVV oder dem Referenzvertrag und der BVB AVV geht die BVB AVV vor (Klausel 4 BVB AVV).

3.8 Ausschließlicher Gerichtsstand für sämtliche Streitigkeiten aus diesem oder über diesen Vertrag ist Traunstein.

Anlage A1: AVV Leistungsbeschreibung

Version 5.0, Stand 02.11.2026. Diese Anlage gilt für jeden Auftraggeber gleich und enthält keine Angaben, die je Auftraggeber auszufüllen sind. Sie beschreibt das gesamte Leistungsangebot des Auftragnehmers. Für den einzelnen Auftraggeber gelten die Abschnitte zu den Leistungsarten, die der Referenzvertrag nennt.

1. Parteien

Verantwortlicher / Datenexporteur: der Auftraggeber nach dem AVV. Firma und Anschrift ergeben sich aus dem Referenzvertrag. Den Kontakt seines Datenschutzbeauftragten oder einer Kontaktperson für Datenschutzfragen (Name, Position, Telefon, E-Mail) und die für ihn zuständige Aufsichtsbehörde nennt der Auftraggeber im Referenzvertrag. Ändern sich diese Angaben, teilt er das dem Auftragnehmer in Textform mit.

Auftragsverarbeiter / Datenimporteur: inducio GmbH, Kotzinger Str. 21, 83278 Traunstein. Eine Datenschutzbeauftragte ist benannt. Sie ist erreichbar unter datenschutz@inducio.de. Weisungen können an diese Adresse sowie an die im Referenzvertrag genannten Ansprechpartner des Auftragnehmers erteilt werden. Zuständige Aufsichtsbehörde: Bayerisches Landesamt für Datenschutzaufsicht, Postfach 1349, 91504 Ansbach, Telefon 0981 180093-0, E-Mail poststelle@lda.bayern.de.

2. Leistungen des Auftragsverarbeiters

In Bezug auf den Umgang mit personenbezogenen Daten erbringt der Auftragsverarbeiter gemäß der BVB AVV IT-Dienstleistungen im Bereich Netzwerk-, Infrastruktur- und Sicherheitsmanagement. Die Leistungen umfassen insbesondere Beratung, Konfiguration, Administration, Monitoring, Wartung, Support und technische Dokumentation betreuter IT-Systeme und Anwendungen sowie Hosting- und Cloud-Leistungen. Soweit hierbei personenbezogene Daten in den betreuten Systemen gespeichert, übertragen oder verarbeitet werden, erfolgt eine Verarbeitung ausschließlich insoweit, wie dies zur Erbringung der vereinbarten Leistungen erforderlich ist. Im Einzelnen gilt je Leistungsart nach §2 der Allgemeinen Geschäftsbedingungen des Auftragnehmers:

Leistungsart	Verarbeitung personenbezogener Daten im Auftrag
Serviceleistungen: IT-Systemstörungsbehebung, IT-Systempflege, IT-Systemwartung, Dokumentationsleistungen, Projekt- und Beratungsleistungen	Zugriff auf die IT-Systeme des Verantwortlichen vor Ort oder per Fernzugriff zur Störungsbehebung, Pflege, Wartung, Konfiguration und Dokumentation. Die Verarbeitung findet in den Systemen des Verantwortlichen statt. Kopien von Daten werden nur vorübergehend zur Fehlersuche angefertigt und danach gelöscht. Angaben zu Störungen, die der Verantwortliche im Ticketsystem des Auftragsverarbeiters meldet, werden dort gespeichert.
Überwachungsleistungen / Monitoring, Administrationssoftware (etwa Authentifizierung im Netzwerk nach 802.1x), Erfassung von Sicherheitsereignissen	Erhebung und Auswertung von Protokoll-, Verbindungs- und Ereignisdaten der Systeme des Verantwortlichen, Zuordnung von Geräten, Adressen und Konten, Speicherung in Monitoring- und Protokollsystemen, die der Auftragsverarbeiter oder der Verantwortliche betreibt.
Hostingleistungen / Cloud Computing: IaaS, DaaS, FWaaS, BaaS, SaaS	Bereitstellung und Betrieb von Rechenleistung, Speicher, virtuellen Desktops, Firewall-Diensten, Datensicherung und Anwendungssoftware in den Rechenzentren des Auftragsverarbeiters. Speicherung, Sicherung, Wiederherstellung und Löschung der vom Verantwortlichen eingebrachten Daten. Bei FWaaS Filterung von E-Mail- und Netzwerkverkehr des Verantwortlichen.
Central Operations Dashboard (COD) als Partner des Herstellers extocode GmbH	Bei Self Hosted mit Betrieb der Instanz durch den Auftragsverarbeiter: Betrieb, Sicherung und Pflege der Instanz mit den vom Verantwortlichen eingebrachten Daten. Bei Shared Hosted und Private Hosted betreibt der Hersteller die Instanz. Dafür schließt der Verantwortliche die Vereinbarung zur Auftragsverarbeitung des Herstellers nach dem COD-Nutzungsvertrag unmittelbar mit dem Hersteller. Diese Anlage erfasst dann nur den Zugriff des Auftragsverarbeiters im Support.
Überlassung von Hard- und Software, Garantieleistungen, Vermietung und Verleihung von Hardware	In der Regel keine Verarbeitung im Auftrag. Enthält ein zur Reparatur, Rücknahme oder zum Austausch überlassenes Gerät Daten des Verantwortlichen, verarbeitet der Auftragsverarbeiter sie nur zur Durchführung der Leistung und löscht sie vor Weitergabe oder Entsorgung des Geräts nach TOM 7.10 und TOM 7.14 der Anlage A3.

3. Zweck der Datenverarbeitung bzw. der Datenübermittlung und Weiterverarbeitung

Zweck der Verarbeitung ist die Erbringung der im Referenzvertrag beauftragten IT-Dienstleistungen (Beratung, Konfiguration, Betrieb, Monitoring, Datensicherung, Hosting, Support und Dokumentation von IT-Infrastruktur und Anwendungen) im Auftrag des Verantwortlichen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Der Auftragsverarbeiter verwendet die aus diesem AVV erlangten Kontaktdaten des Verantwortlichen nicht für Werbung.

4. Kreis der von der Datenverarbeitung betroffenen Personen

Je nach beauftragter Leistungsart und nach den Systemen, die der Verantwortliche betreuen lässt, können betroffen sein:

• Arbeitnehmer, Beschäftigte und Beauftragte des Verantwortlichen, insbesondere als Nutzer der betreuten IT-Systeme mit Benutzerkonten,
• Nutzer von Websites, Apps und IT-Systemen des Verantwortlichen, einschließlich Gäste in Gastnetzen,
• Endkunden, Patienten, Bürger, Mitglieder und sonstige Personen, deren Daten der Verantwortliche in den betreuten Systemen verarbeitet,
• Interessenten, Werbekontakte, Geschäftspartner und Lieferanten des Verantwortlichen,
• Stellenbewerber, soweit der Verantwortliche Bewerberdaten in betreuten Systemen verarbeitet.

5. Art der Daten / Kategorien der personenbezogenen Daten

Je nach beauftragter Leistungsart und nach den betreuten Systemen:

• Daten im Zusammenhang mit der Sicherheit von IT-Systemen: Zugriffs- und Anmeldeprotokolle, Benutzerkonten, Zertifikate, MAC- und IP-Adressen, Zuordnung von Geräten zu Personen, Nutzungsdaten aus Telemediendiensten,
• Stammdaten und Kontaktdaten: Name, Anschrift, Telefon, E-Mail, Position, bei Abrechnungssystemen auch Geburtsdatum und Bankverbindung,
• Daten aus der Anbahnung und Durchführung von Vertragsverhältnissen des Verantwortlichen: Vertrags-, Abrechnungs- und Zahlungsdaten, Bestellhistorie,
• Inhalte, die der Verantwortliche in gehosteten Systemen speichert oder über gefilterte Dienste überträgt: Dokumente, E-Mails, Kalender, Datenbanken, Sicherungsstände,
• Leistungsdaten im Rahmen der Durchführung eines Vertragsverhältnisses, soweit der Verantwortliche Personal- oder Zeiterfassungssysteme betreuen lässt.

Besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO verarbeitet der Auftragsverarbeiter nicht gezielt. Betreut er Systeme des Verantwortlichen, in denen solche Daten gespeichert sind, etwa Gesundheitsdaten bei Einrichtungen des Gesundheitswesens, erfolgt der Zugriff nur, soweit er für die Leistung unerlässlich ist, nur durch namentlich zugeordnete und auf Vertraulichkeit verpflichtete Personen und unter Protokollierung des Zugriffs (Klausel 7.5 BVB AVV). Unterliegt der Verantwortliche einer Schweigepflicht nach § 203 StGB, verpflichtet der Auftragsverarbeiter die eingesetzten Personen nach § 203 Absatz 4 StGB zur Geheimhaltung und weist das auf Verlangen nach. Der Verantwortliche nennt solche Systeme im Referenzvertrag oder teilt sie dem Auftragsverarbeiter vor dem Zugriff in Textform mit.

6. Häufigkeit der Übermittlung, Art und Dauer der Verarbeitung

Kontinuierlich für die Dauer des Vertragsverhältnisses. Art der Verarbeitung: Erfassen, Speicherung, Auslesen, Abfragen, Verwendung, Anpassung, Sicherung, Wiederherstellung sowie Löschen personenbezogener Daten im Rahmen der Erbringung der vereinbarten IT-Dienstleistungen.

Die Daten werden für die Dauer des Vertragsverhältnisses gespeichert, danach unverzüglich gelöscht, soweit keine gesetzlichen Aufbewahrungsfristen (insbesondere steuerrechtliche Fristen gemäß §§ 147 AO, 257 HGB) entgegenstehen. Nach Ablauf der jeweiligen Datenaufbewahrungsfrist wird der Auftragsverarbeiter alle personenbezogenen Daten im Rahmen des normalen Betriebsablaufs löschen, es sei denn, eine Aufbewahrung ist erforderlich, um zwingende rechtliche Verpflichtungen des Auftragsverarbeiters zu erfüllen, insbesondere im Hinblick auf steuerliche Aufbewahrungsfristen. In diesem Fall sind die aufbewahrungspflichtigen Daten so gesondert zu halten, dass eine Verarbeitung nur noch zu diesen besonderen Zwecken möglich ist. Sicherungsstände bei Hostingleistungen laufen innerhalb der in der Leistungsbeschreibung genannten Aufbewahrungsfrist aus.

7. Gebiet der Datenverarbeitung

Die Verarbeitung der Daten durch den Auftragsverarbeiter findet ausschließlich auf dem Gebiet der Bundesrepublik Deutschland statt, bei Hostingleistungen in den Rechenzentren des Auftragsverarbeiters in München und Traunstein. Unterauftragsverarbeiter nach Anlage A2 verarbeiten Daten zusätzlich in anderen Mitgliedstaaten der Europäischen Union und des Europäischen Wirtschaftsraums (Irland und Niederlande). Eine Übermittlung in ein Drittland findet nur nach Kapitel V DSGVO statt und wird in Anlage A2 mit der jeweiligen Garantie ausgewiesen. Soweit eine Verarbeitung tatsächlich in einem Land stattfindet, für das kein Angemessenheitsbeschluss der Europäischen Kommission besteht, vereinbaren die Parteien als vorrangigen Rechtsrahmen die EU-Standardvertragsklauseln in ihrer aktuellen Form.

8. Beteiligte Systeme

Die Daten des Verantwortlichen werden während der Auftragsverarbeitung je nach Leistungsart mit IT-Systemen des Verantwortlichen verarbeitet (Serviceleistungen) oder vorübergehend oder dauerhaft beim Auftragsverarbeiter verarbeitet (Monitoring, Hosting, Betrieb von COD-Instanzen, Ticketsystem).

9. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter stellt in seinem Verantwortungsbereich eine innerbetriebliche Organisationsstruktur zur Verfügung, die den besonderen Anforderungen des Datenschutzes Rechnung trägt, und sichert zu, alle nach Artikel 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen ("TOMs") vor Beginn der Datenverarbeitung zu treffen und diese für die Dauer der Auftragsverarbeitung beizubehalten. Die TOMs des Auftragsverarbeiters sind in Anlage A3 beschrieben und unter https://inducio-services.net/toms (englische Seite: https://inducio-services.net/en/toms) veröffentlicht. Sie folgen der Struktur der internationalen Norm ISO/IEC 27001:2022 (deutsche Fassung: DIN EN ISO/IEC 27001:2024-01) sowie der zugehörigen Maßnahmenliste der ISO/IEC 27002:2022 (deutsche Fassung: DIN EN ISO/IEC 27002:2024-01).

10. Unterauftragsverarbeiter

Die vom Auftragsverarbeiter eingesetzten Unterauftragsverarbeiter sind in Anlage A2 benannt. Soweit Daten im Geltungsbereich dieser Anlage durch einen Unterauftragsverarbeiter in einem Drittland ohne Angemessenheitsbeschluss verarbeitet werden, sichert der Auftragsverarbeiter zu, dass er mit seinem Unterauftragsverarbeiter aktuell zulässige Standardvertragsklauseln vereinbart oder der Unterauftragsverarbeiter den zwischen den Parteien geltenden Standardvertragsklauseln beitritt.

Anlage A2: Liste der Unterauftragsverarbeiter

Version 1.0, Stand 02.11.2026. Diese Liste ist die vereinbarte Liste nach Klausel 7.7 der BVB AVV. Änderungen richten sich nach Ziffer 3.3 des AVV: Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens vier Wochen vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters in Textform. Die jeweils geltende Fassung dieser Liste ist unter https://inducio-services.net/datenschutz/unterauftragsnehmer veröffentlicht.

Nr.	Firma und Sitz	Leistung	Ort der Verarbeitung	Drittland und Garantie
1	Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland	Microsoft 365, Exchange Online Protection und Azure-Dienste: Postfächer, Kalender, Dokumente und Zusammenarbeit des Auftragsverarbeiters, soweit darin Daten des Verantwortlichen aus Tickets, Meldungen und Projektunterlagen verarbeitet werden, sowie Identitätsmanagement	Europäische Union (Irland, Niederlande)	Übermittlung an Microsoft Corporation, USA, im Einzelfall möglich. Garantie: Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), daneben Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
2	extocode GmbH, Kotzinger Str. 21, 83278 Traunstein, Deutschland	Hersteller des Central Operations Dashboard (COD): Fehleranalyse und Second-Level-Support, Fernzugriff auf COD-Instanzen des Verantwortlichen nur auf Weisung und im Einzelfall, Verarbeitung von Meldungen über den Rückmeldeweg der Anwendung	Deutschland	keine Übermittlung in ein Drittland

Nicht in der Liste, mit Grund

• Betreiber der Rechenzentren in München und Traunstein: Sie vermieten dem Auftragsverarbeiter Fläche mit Zutrittsschutz, Strom und Klimatisierung und haben keinen logischen Zugriff auf Daten. Sie verarbeiten keine Daten des Verantwortlichen.
• RIPE NCC, Amsterdam: Registrierung und Verwaltung von IP-Adressen des Auftragsverarbeiters als Local Internet Registry. Verarbeitet werden nur Kontaktdaten des Auftragsverarbeiters, keine Daten des Verantwortlichen.
• Hersteller von Hard- und Software (Server, Virtualisierung, Firewall, Endpoint-Schutz): Lieferanten ohne Verarbeitung im Auftrag. Setzt der Auftragsverarbeiter für eine beauftragte Leistung einen Cloud-Dienst eines Herstellers ein, wird dieser vor der Beauftragung in diese Liste aufgenommen.
• Telekommunikationsanbieter: reine Transportdienste ohne Zugriff auf Inhalte.

Anlage A3: Technische und organisatorische Maßnahmen (TOM)

Version 2.4.1, Fassung 2026110801, Stand 11/2026, nach Artikel 32 DSGVO, Struktur nach ISO/IEC 27001:2022. Diese Anlage gibt die unter https://inducio-services.net/toms/2026110801 veröffentlichte Fassung wieder. Maßgeblich ist nach Ziffer 3.3 des AVV die dort jeweils veröffentlichte Fassung. Die Datenschutzbeauftragte wird in dieser Anlage nur mit ihrer Kontaktadresse genannt, die Website ist entsprechend anzupassen.

Dieses Dokument beschreibt die technischen und organisatorischen Maßnahmen (TOMs) der inducio GmbH zur Erfüllung der Anforderungen aus Artikel 32 DSGVO.

Überprüfung und Aktualisierung. Die hier dokumentierten Maßnahmen werden regelmäßig, mindestens jedoch einmal jährlich, sowie anlassbezogen bei wesentlichen Änderungen der Verarbeitungstätigkeiten, der eingesetzten Technologien, der Bedrohungslage oder der rechtlichen Anforderungen überprüft und fortgeschrieben.

Die Maßnahmen sind nach ISO/IEC 27001:2022 (Annex A) in vier Bereiche gegliedert: organisatorische, personelle, physische und technologische Maßnahmen.

Organisatorische Maßnahmen (37 Maßnahmen)

TOM 5.1 Informationssicherheitspolitik und -richtlinien. Eine durch die Geschäftsführung der inducio GmbH verabschiedete Informationssicherheits-Leitlinie sowie themenbezogene Richtlinien (u. a. Zugangs-, Verschlüsselungs-, Datensicherungs-, Lieferanten-Richtlinie) sind dokumentiert, kommuniziert und werden mindestens jährlich sowie bei wesentlichen Änderungen überprüft.

TOM 5.2 Informationssicherheitsrollen und -verantwortlichkeiten. Rollen und Verantwortlichkeiten für die Informationssicherheit (u. a. Informationssicherheitsbeauftragte/r, Asset- und Risk-Owner) sowie für den Datenschutz sind definiert, dokumentiert und den jeweiligen Personen formell zugewiesen.

TOM 5.3 Aufgabentrennung. Kollidierende Aufgaben und Verantwortungsbereiche werden funktional getrennt (z. B. Entwicklung vs. Betrieb, Beantragung vs. Genehmigung von Zugangsrechten, Buchung vs. Freigabe), um das Risiko unautorisierter oder missbräuchlicher Handlungen zu reduzieren.

TOM 5.4 Verantwortlichkeiten der Leitung. Die Geschäftsführung der inducio GmbH verpflichtet alle Mitarbeitenden und Auftragnehmer, die Informationssicherheit gemäß den festgelegten Richtlinien und Verfahren anzuwenden, und stellt die hierfür erforderlichen Ressourcen bereit.

TOM 5.5 Kontakt mit Behörden. Geeignete Kontakte zu relevanten Behörden sind etabliert. Zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA). Im Bedarfsfall (insb. bei Sicherheitsvorfällen und Datenschutzverletzungen) erfolgt zeitnahe Kontaktaufnahme.

TOM 5.6 Kontakt mit speziellen Interessengruppen. Die inducio GmbH unterhält Kontakte zu Sicherheits-Foren und Berufsverbänden, um über aktuelle Bedrohungen, Best Practices und Schwachstellen informiert zu bleiben.

TOM 5.7 Informationen über die Bedrohungslage. Informationen zu aktuellen Bedrohungen werden aus internen und externen Quellen (Hersteller-Advisories, CERT-Bund, BSI-Lagebericht, einschlägige Fachpresse) systematisch ausgewertet und fließen in Risiko- und Schutzentscheidungen ein.

TOM 5.8 Informationssicherheit im Projektmanagement. Informationssicherheit ist fester Bestandteil des Projektmanagements aller Projekttypen. Sicherheits- und Datenschutzanforderungen werden in jeder Projektphase identifiziert, bewertet und behandelt.

TOM 5.9 Inventar der Informationen und anderer damit verbundener Werte. Ein Inventar der Informationen und damit verbundener Werte (Hardware, Software, Daten, Cloud-Dienste, Lizenzen) wird geführt, regelmäßig überprüft und enthält den jeweiligen Eigentümer (Asset-Owner).

TOM 5.10 Zulässiger Gebrauch von Informationen und anderen damit verbundenen Werten. Regeln für die zulässige Nutzung sind festgelegt und kommuniziert. Die Nutzung privat beschaffter IT-Systeme zur Verarbeitung von personenbezogenen Daten ist untersagt.

TOM 5.11 Rückgabe von Werten. Mitarbeitende und externe Nutzer geben alle überlassenen Werte (Hardware, Datenträger, Dokumente, Zugangstoken) bei Beendigung des Beschäftigungsverhältnisses oder Auftrags nachvollziehbar zurück.

TOM 5.12 Klassifizierung von Informationen. Informationen werden nach gesetzlichen Anforderungen, Wert, Kritikalität und Schutzbedarf klassifiziert (z. B. öffentlich, intern, vertraulich, streng vertraulich). Personenbezogene Daten gelten mindestens als vertraulich.

TOM 5.13 Kennzeichnung von Informationen. Verfahren zur Kennzeichnung von Informationen gemäß Klassifizierungsschema sind etabliert (z. B. Kopf-/Fußzeilen, Metadaten, Hinweise in E-Mail-Signaturen).

TOM 5.14 Informationsübermittlung. Für jede Übermittlungsart (elektronisch, physisch, mündlich) bestehen Regeln. Personenbezogene Daten werden ausschließlich verschlüsselt bzw. über gesicherte Kanäle übermittelt.

TOM 5.15 Zugangssteuerung. Regeln zur Steuerung des physischen und logischen Zugangs werden nach den Grundsätzen need-to-know und least privilege festgelegt und umgesetzt.

TOM 5.16 Identitätsmanagement. Der gesamte Lebenszyklus von Identitäten (Eröffnung, Änderung, Sperrung, Löschung) wird zentral gesteuert. Gemeinsam genutzte Konten sind nur mit ausdrücklicher Genehmigung und nachvollziehbarer Zuordnung zulässig.

TOM 5.17 Authentisierungsinformationen. Die Zuteilung und Verwaltung von Authentisierungsinformationen (Passwörter, Token, Schlüssel) erfolgen über kontrollierte Prozesse. Passwortqualität und -wechselregeln sind definiert. Geheime Informationen werden niemals im Klartext gespeichert oder übermittelt.

TOM 5.18 Zugangsrechte. Zugangsrechte werden formal beantragt, genehmigt, dokumentiert, mindestens jährlich geprüft und bei Personalwechsel oder Aufgabenwechsel zeitnah angepasst oder entzogen.

TOM 5.19 Informationssicherheit in Lieferantenbeziehungen. Verfahren zur Behandlung von Risiken aus Lieferantenbeziehungen sind definiert. Lieferanten und Dienstleister werden vor Beauftragung einer angemessenen Sicherheitsprüfung unterzogen.

TOM 5.20 Behandlung von Informationssicherheit in Lieferantenvereinbarungen. Mit jedem Lieferanten werden risikoangemessene Sicherheitsanforderungen vertraglich vereinbart (insb. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, TOMs, Audit- und Meldepflichten).

TOM 5.21 Umgang mit der Informationssicherheit in der IKT-Lieferkette. Risiken aus der IKT-Lieferkette (Unter-Auftragsverarbeiter, Software-Zulieferer, Cloud-Anbieter) werden bewertet und behandelt. Die aktuelle Liste der eingesetzten Unter-Auftragsverarbeiter ist veröffentlicht unter https://inducio-services.net/datenschutz/unterauftragsnehmer.

TOM 5.22 Überwachung, Überprüfung und Änderungsmanagement von Lieferantendienstleistungen. Erbringung, Sicherheitsvorfälle und SLA-Einhaltung der Lieferanten werden regelmäßig ausgewertet. Änderungen am Leistungsumfang werden bewertet und nachgeführt.

TOM 5.23 Informationssicherheit für die Nutzung von Cloud-Diensten. Vor der Nutzung eines Cloud-Dienstes wird eine Risikobewertung durchgeführt (u. a. Datenstandort, Verschlüsselung, Kontroll- und Audit-Möglichkeiten, Exit-Strategie). Ausstieg und Datenrückgabe sind in den Cloud-Verträgen geregelt.

TOM 5.24 Planung und Vorbereitung der Handhabung von Informationssicherheitsvorfällen. Prozesse, Rollen und Verantwortlichkeiten für die Vorfallbehandlung sind festgelegt, kommuniziert und werden regelmäßig geübt.

TOM 5.25 Beurteilung und Entscheidung über Informationssicherheitsereignisse. Sicherheitsereignisse werden nach dokumentierten Kriterien (Schwere, Auswirkung, Eintrittswahrscheinlichkeit) bewertet und ggf. als Vorfall eingestuft.

TOM 5.26 Reaktion auf Informationssicherheitsvorfälle. Auf Vorfälle wird gemäß dokumentierten Verfahren reagiert. Bei Datenschutzverletzungen erfolgen die Meldung an das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) innerhalb 72h (Art. 33 DSGVO) sowie die unverzügliche Information des Verantwortlichen.

TOM 5.27 Erkenntnisse aus Informationssicherheitsvorfällen. Aus jeder Vorfallbehandlung werden Lessons-Learned dokumentiert und in Prozesse, Schulungen und technische Maßnahmen eingearbeitet.

TOM 5.28 Sammeln von Beweismaterial. Verfahren zur forensisch verwertbaren Identifizierung, Sicherung und Erhaltung von Beweismaterial in Zusammenhang mit Sicherheitsereignissen sind etabliert.

TOM 5.29 Informationssicherheit bei Störungen. Während Störungen wird die Informationssicherheit auf angemessenem Niveau aufrechterhalten (z. B. Notbetriebs- und Eingriffsverfahren mit definierten Sicherheitsleitplanken).

TOM 5.30 IKT-Bereitschaft für Business-Continuity. Die IKT-Bereitschaft (Redundanzen, Notfall-, Wiederanlaufkonzepte) ist auf die definierten Geschäftskontinuitätsziele ausgerichtet und wird regelmäßig getestet.

TOM 5.31 Juristische, gesetzliche, regulatorische und vertragliche Anforderungen. Relevante rechtliche und vertragliche Anforderungen (insb. DSGVO, BDSG, Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, ggf. branchenspezifische Vorgaben) sind identifiziert, dokumentiert und werden aktuell gehalten.

TOM 5.32 Geistige Eigentumsrechte. Verfahren zum Schutz geistiger Eigentumsrechte (eigene wie fremde) sind etabliert: Lizenzmanagement, ausschließliche Verwendung lizenzkonformer Software, Beachtung der Urheberrechte Dritter.

TOM 5.33 Schutz von Aufzeichnungen. Aufzeichnungen werden vor Verlust, Zerstörung, Fälschung und unbefugtem Zugriff geschützt. Gesetzliche und vertragliche Aufbewahrungs- und Löschfristen werden eingehalten.

TOM 5.34 Datenschutz und Schutz personenbezogener Daten. Die Anforderungen an den Datenschutz nach DSGVO und BDSG werden umgesetzt. Eine externe Datenschutzbeauftragte ist bestellt und unter datenschutz@inducio.de erreichbar.

TOM 5.35 Unabhängige Überprüfung der Informationssicherheit. Das Informationssicherheits-Konzept und dessen Umsetzung werden in geplanten Abständen sowie bei wesentlichen Änderungen unabhängig überprüft (interne Audits, ggf. externe Begutachtung).

TOM 5.36 Einhaltung von Richtlinien, Vorschriften und Normen für die Informationssicherheit. Die Einhaltung der Informationssicherheits-Richtlinie und themenbezogener Richtlinien wird regelmäßig durch Stichproben und Audits überprüft.

TOM 5.37 Dokumentierte Betriebsabläufe. Betriebsabläufe für informationsverarbeitende Einrichtungen (z. B. Change-, Patch-, Backup-, Restore-Verfahren) sind dokumentiert und dem zuständigen Personal zugänglich.

Personelle Maßnahmen (8 Maßnahmen)

TOM 6.1 Sicherheitsüberprüfung. Vor Beschäftigungsbeginn werden Bewerber angemessen überprüft (Vorlage Führungszeugnis bei sicherheitsrelevanten Funktionen, Identitätsprüfung, Referenzen), unter Beachtung der gesetzlichen Vorgaben.

TOM 6.2 Beschäftigungs- und Vertragsbedingungen. Die Arbeits- und Werkverträge regeln die Verantwortlichkeiten für Informationssicherheit und Datenschutz.

TOM 6.3 Informationssicherheitsbewusstsein, -ausbildung und -schulung. Mitarbeitende der inducio GmbH werden mindestens jährlich zu Informationssicherheit und Datenschutz geschult und bei sicherheitsrelevanten Ereignissen erfolgen anlassbezogene Sensibilisierungen.

TOM 6.4 Maßregelungsprozess. Bei Verstößen gegen die Informationssicherheits-Richtlinien ist ein formaler Maßregelungsprozess vorgesehen und arbeitsrechtliche Konsequenzen können bis zur Kündigung reichen.

TOM 6.5 Verantwortlichkeiten bei Beendigung oder Änderung der Beschäftigung. Bei Beendigung oder Wechsel der Beschäftigung werden Zugänge gesperrt, Assets zurückgegeben und der oder die Betroffene auf weiterhin geltende Geheimhaltungspflichten hingewiesen.

TOM 6.6 Vertraulichkeits- oder Geheimhaltungsvereinbarungen. Mit allen Mitarbeitenden, externen Beschäftigten und relevanten Vertragspartnern werden Vertraulichkeits- oder Geheimhaltungsvereinbarungen geschlossen und regelmäßig überprüft.

TOM 6.7 Remote-Arbeit. Beim Remote-Arbeiten sind technische und organisatorische Schutzmaßnahmen umgesetzt: VPN-Zugang, Multi-Faktor-Authentifizierung, Endpunkt-Verschlüsselung, Sichtschutz.

TOM 6.8 Meldung von Informationssicherheitsereignissen. Mitarbeitende werden verpflichtet und befähigt, Sicherheitsereignisse oder -verdachtsmomente unverzüglich über etablierte interne Kanäle zu melden.

Physische Maßnahmen (14 Maßnahmen)

TOM 7.1 Physische Sicherheitsperimeter. Die Räumlichkeiten der inducio GmbH (Standort Traunstein) sind durch definierte Sicherheitsperimeter geschützt (Gebäudeeingänge, separierte Server- und Archivbereiche).

TOM 7.2 Physischer Zutritt. Der Zutritt erfolgt personenbezogen und protokolliert. Zutrittsrechte sind dokumentiert und werden regelmäßig überprüft. Besucher werden empfangen und begleitet.

TOM 7.3 Sichern von Büros, Räumen und Einrichtungen. Büros, Räume und Einrichtungen werden physisch gesichert. Sensible Bereiche unterliegen zusätzlichen Schutzmaßnahmen.

TOM 7.4 Physische Sicherheitsüberwachung. Sensible Bereiche werden auf unautorisierten Zutritt überwacht (Alarmanlage, Videoüberwachung im rechtlich zulässigen Rahmen, Sicherheitspersonal).

TOM 7.5 Schutz vor physischen und umweltbedingten Bedrohungen. Schutz vor physischen und umweltbedingten Risiken (Brand, Wasser, Stromausfall, Klima) ist umgesetzt: Brandmelder, Feuerlöscher, USV für kritische Systeme, kontrollierte Raumtemperatur.

TOM 7.6 Arbeiten in Sicherheitsbereichen. Für Tätigkeiten in besonders geschützten Bereichen gelten zusätzliche Regeln (z. B. Foto- und Aufnahmeverbote, Begleitung externer Personen, Clear-Desk-Pflicht).

TOM 7.7 Aufgeräumte Arbeitsumgebung und Bildschirmsperren. Clear-Desk-Regeln (keine sensiblen Papiere/Datenträger frei liegend) und Clear-Screen-Regeln (automatische Bildschirmsperre bei Inaktivität, manuelle Sperrung beim Verlassen) sind festgelegt und werden durchgesetzt.

TOM 7.8 Platzierung und Schutz von Geräten und Betriebsmitteln. Geräte und Betriebsmittel werden so platziert und geschützt, dass das Risiko unautorisierter Einsicht, Manipulation oder Beschädigung minimiert wird.

TOM 7.9 Sicherheit von Werten außerhalb der Räumlichkeiten. Mobile Werte (Notebooks, Smartphones, Wechseldatenträger) sind durch Geräteverschlüsselung und Verhaltensregeln (Aufsichtspflicht, sichere Aufbewahrung) geschützt.

TOM 7.10 Speichermedien. Speichermedien werden über ihren Lebenszyklus klassifiziert verwaltet. Datenträger mit sensiblen Inhalten werden sicher gelöscht oder physisch vernichtet.

TOM 7.11 Versorgungseinrichtungen. Informationsverarbeitende Einrichtungen sind gegen Versorgungsausfälle abgesichert (USV für kritische Systeme und redundante Internet-Anbindung).

TOM 7.12 Sicherheit der Verkabelung. Strom- und Datenverkabelung ist gegen Abhören, Störung und Beschädigung geschützt (Verkabelung in geschützten Trassen, Schutz aktiver Komponenten in Verteilerschränken).

TOM 7.13 Instandhaltung von Geräten und Betriebsmitteln. Geräte werden gemäß Herstellervorgaben gewartet. Wartungs- und Reparaturvorgänge durch Externe werden begleitet und dokumentiert.

TOM 7.14 Sichere Entsorgung oder Wiederverwendung von Geräten und Betriebsmitteln. Vor Entsorgung oder Wiederverwendung von Geräten mit Speichermedien werden Daten nachweislich sicher entfernt oder die Datenträger physisch vernichtet.

Technologische Maßnahmen (34 Maßnahmen)

TOM 8.1 Endpunktgeräte des Benutzers. Endpunktgeräte (Notebooks, Desktops, Mobilgeräte) sind durch Endpoint-Protection, Geräteverschlüsselung, aktuelle Patches und ggf. Mobile-Device-Management abgesichert.

TOM 8.2 Privilegierte Zugangsrechte. Privilegierte Zugangsrechte (z. B. Admin-Konten) sind separat von Standardkonten, namentlich zugeordnet, durch Multi-Faktor-Authentifizierung geschützt und protokolliert.

TOM 8.3 Informationszugangsbeschränkung. Der Zugang zu Anwendungen und Daten ist durch granulare Berechtigungen auf den notwendigen Umfang beschränkt. Berechtigungen werden bedarfsgerecht und überprüfbar vergeben.

TOM 8.4 Zugriff auf den Quellcode. Lese- und Schreibzugriff auf Quellcode, Build- und Entwicklungswerkzeuge erfolgen über eine Versionskontrolle mit Code-Review. Signierte oder verifizierbare Commits werden bei sicherheitsrelevanten Repositories verlangt.

TOM 8.5 Sichere Authentisierung. Sichere Authentisierungsverfahren werden eingesetzt. Für administrative Zugänge sowie alle aus dem Internet erreichbaren Konten ist Multi-Faktor-Authentifizierung verpflichtend.

TOM 8.6 Kapazitätssteuerung. Ressourcennutzung (Speicher, Rechenleistung, Bandbreite) wird überwacht. Kapazitäten werden den erwarteten Anforderungen angepasst und Engpässe rechtzeitig adressiert.

TOM 8.7 Schutz gegen Schadsoftware. Ein mehrstufiger Schutz gegen Schadsoftware ist umgesetzt (Endpoint-Schutz, E-Mail- und Web-Filterung, Software-Einschränkungen) und durch regelmäßige Sensibilisierung der Nutzer flankiert.

TOM 8.8 Handhabung von technischen Schwachstellen. Informationen zu technischen Schwachstellen werden eingeholt, bewertet und durch Patches, Konfigurationsänderungen oder kompensierende Maßnahmen behandelt.

TOM 8.9 Konfigurationsmanagement. Konfigurationen von Hardware, Software, Diensten und Netzwerken sind dokumentiert. Sicherheitsrelevante Härtungs-Baselines werden definiert, umgesetzt und überwacht.

TOM 8.10 Löschung von Informationen. Informationen werden gelöscht, sobald sie nicht mehr benötigt werden oder gesetzliche bzw. vertragliche Aufbewahrungsfristen abgelaufen sind. Ein Löschkonzept ist etabliert.

TOM 8.11 Datenmaskierung. Datenmaskierungsverfahren (Pseudonymisierung, Anonymisierung) werden eingesetzt, wo Test-, Analyse- oder Schulungszwecke keine echten personenbezogenen Daten erfordern.

TOM 8.12 Verhinderung von Datenlecks. Maßnahmen zur Verhinderung von Datenlecks werden auf relevante Systeme angewendet (z. B. Einschränkung externer Datenträger, Ausgangsfilterung, Berechtigungen auf Cloud-Sync-Tools).

TOM 8.13 Sicherung von Informationen. Sicherungskopien werden nach einer dokumentierten Datensicherungsstrategie regelmäßig erstellt, vor Manipulation geschützt und durch periodische Wiederherstellungstests verifiziert.

TOM 8.14 Redundanz von informationsverarbeitenden Einrichtungen. Kritische informationsverarbeitende Einrichtungen sind redundant ausgelegt, soweit dies den Verfügbarkeitsanforderungen entspricht.

TOM 8.15 Protokollierung. Sicherheitsrelevante Ereignisse werden protokolliert, manipulationsgeschützt gespeichert und zur Auswertung bereitgestellt. Datenschutzanforderungen werden eingehalten.

TOM 8.16 Überwachung von Aktivitäten. Netzwerke, Systeme und Anwendungen werden auf anomales Verhalten überwacht (z. B. Anomalie-Erkennung, Alarmierung bei verdächtigen Aktivitäten).

TOM 8.17 Uhrensynchronisation. Die Systemuhren aller relevanten Systeme werden mit einer vertrauenswürdigen Zeitquelle (NTP) synchronisiert, um Protokolldaten korrelierbar zu halten.

TOM 8.18 Gebrauch von Hilfsprogrammen mit privilegierten Rechten. Hilfsprogramme, die Sicherheitsmechanismen umgehen könnten, sind nur einem eng begrenzten Personenkreis zugänglich und ihre Nutzung wird protokolliert.

TOM 8.19 Installation von Software auf Systemen in Betrieb. Software wird ausschließlich aus vertrauenswürdigen Quellen und im Rahmen eines kontrollierten Prozesses installiert. Standardnutzer dürfen keine Software ohne Freigabe installieren.

TOM 8.20 Netzwerksicherheit. Netzwerke und Netzwerkgeräte werden gesichert, verwaltet und überwacht (Firewalls, gehärtete Konfigurationen, ausschließlich autorisierte Protokolle).

TOM 8.21 Sicherheit von Netzwerkdiensten. Sicherheitsmechanismen, Service-Levels und Verwaltungsanforderungen aller Netzwerkdienste sind identifiziert, umgesetzt und werden überwacht.

TOM 8.22 Trennung von Netzwerken. Netzwerke sind nach Schutzbedarf und Nutzergruppen segmentiert (z. B. Produktiv-, Verwaltungs-, Gäste-, DMZ-Bereiche).

TOM 8.23 Webfilterung. Der Zugriff auf externe Webinhalte wird gesteuert (Web-Proxy / URL-Filterung), um die Belastung durch bekannte schadhafte oder unzulässige Inhalte zu reduzieren.

TOM 8.24 Verwendung von Kryptographie. Für Verschlüsselung und Schlüsselverwaltung gelten verbindliche Regeln.

TOM 8.25 Lebenszyklus einer sicheren Entwicklung. Für die Entwicklung von Software und Systemen gelten Regeln einer sicheren Entwicklung (Secure-SDLC, Bedrohungsmodellierung, Sicherheit als Design-Grundsatz).

TOM 8.26 Anforderungen an die Anwendungssicherheit. Bei der Entwicklung und Beschaffung von Anwendungen werden Informationssicherheitsanforderungen im jeweiligen GitLab-Projekt bzw. Beschaffungsvorgang erfasst. Identifikation und Spezifikation erfolgen durch den verantwortlichen Bearbeiter, die Freigabe durch den IT-Verantwortlichen über die in GitLab integrierten Review- und Approval-Mechanismen (Issues, Merge Requests). Die Nachvollziehbarkeit ergibt sich aus der Historie der Entwicklungs- und Beschaffungssysteme.

TOM 8.27 Sichere Systemarchitektur und Entwicklungsgrundsätze. Architektur- und Entwicklungsgrundsätze (z. B. Least Privilege und sichere Default-Konfigurationen) sind dokumentiert und werden konsequent angewendet.

TOM 8.28 Sichere Codierung. Grundsätze sicherer Codierung werden umgesetzt (Vermeidung verbreiteter Schwachstellenklassen, Code-Reviews, statische und dynamische Code-Analyse).

TOM 8.29 Sicherheitsprüfung bei Entwicklung und Abnahme. Sicherheitsprüfungen sind fester Bestandteil des Entwicklungsprozesses. Vor der Produktivnahme sicherheitskritischer Anwendungen erfolgen geeignete Tests (z. B. Penetrationstests).

TOM 8.30 Ausgegliederte Entwicklung. Ausgelagerte Entwicklungstätigkeiten werden überwacht und überprüft. Sicherheitsanforderungen, Code-Übergaben und Abnahmen sind vertraglich geregelt.

TOM 8.31 Trennung von Entwicklungs-, Test- und Produktionsumgebungen. Entwicklungs-, Test- und Produktionsumgebungen sind getrennt. Echte personenbezogene Daten werden in Test- und Entwicklungsumgebungen grundsätzlich nicht verwendet.

TOM 8.32 Änderungssteuerung. Änderungen an informationsverarbeitenden Einrichtungen und Anwendungen folgen einem dokumentierten Change-Prozess (Antrag, Bewertung, Genehmigung, Test, Freigabe, Rückfallplan).

TOM 8.33 Testdaten. Testdaten werden bewusst ausgewählt, geschützt und verwaltet. Personenbezogene Echtdaten in Testumgebungen sind nur pseudonymisiert bzw. anonymisiert zulässig.

TOM 8.34 Schutz der Informationssysteme während Tests im Rahmen von Audits. Audits und Sicherheitsprüfungen produktiver Systeme werden geplant und mit der zuständigen Leitung abgestimmt, um Beeinträchtigungen des Betriebs zu minimieren.

Externe Datenschutzbeauftragte: erreichbar unter datenschutz@inducio.de. Zuständige Aufsichtsbehörde: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA). Liste der Unter-Auftragsverarbeiter: /datenschutz/unterauftragsnehmer.

Anlage A: Besondere Vertragsbestimmungen Auftragsverarbeitung (BVB AVV)

Version 1.1, Stand 10/2026. Standardvertragsklauseln der Europäischen Kommission nach Artikel 28 Absatz 7 DSGVO (Durchführungsbeschluss (EU) 2021/915). Die Klauseln sind unverändert übernommen, Anhang I bis III sind am Ende zugeordnet.

ANHANG des Durchführungsbeschlusses der Kommission über Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern gemäß Artikel 28 Absatz 7 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates und Artikel 29 Absatz 7 der Verordnung (EU) 2018/1725 des Europäischen Parlaments und des Rates

ABSCHNITT I

Klausel 1 Zweck und Anwendungsbereich

a) Mit diesen Standardvertragsklauseln (im Folgenden "Klauseln") soll die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG sichergestellt werden.

b) Die in Anhang I aufgeführten Verantwortlichen und Auftragsverarbeiter haben diesen Klauseln zugestimmt, um die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 und/oder Artikel 29 Absätze 3 und 4 der Verordnung (EU) 2018/1725 zu gewährleisten.

c) Diese Klauseln gelten für die Verarbeitung personenbezogener Daten gemäß Anhang II.

d) Die Anhänge I bis IV sind Bestandteil der Klauseln.

e) Diese Klauseln gelten unbeschadet der Verpflichtungen, denen der Verantwortliche gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.

f) Diese Klauseln stellen für sich allein genommen nicht sicher, dass die Verpflichtungen im Zusammenhang mit internationalen Datenübermittlungen gemäß Kapitel V der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 erfüllt werden.

Klausel 2 Unabänderbarkeit der Klauseln

a) Die Parteien verpflichten sich, die Klauseln nicht zu ändern, es sei denn, zur Ergänzung oder Aktualisierung der in den Anhängen angegebenen Informationen.

b) Dies hindert die Parteien nicht daran die in diesen Klauseln festgelegten Standardvertragsklauseln in einen umfangreicheren Vertrag aufzunehmen und weitere Klauseln oder zusätzliche Garantien hinzuzufügen, sofern diese weder unmittelbar noch mittelbar im Widerspruch zu den Klauseln stehen oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneiden.

Klausel 3 Auslegung

a) Werden in diesen Klauseln die in der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 definierten Begriffe verwendet, so haben diese Begriffe dieselbe Bedeutung wie in der betreffenden Verordnung.

b) Diese Klauseln sind im Lichte der Bestimmungen der Verordnung (EU) 2016/679 bzw. der Verordnung (EU) 2018/1725 auszulegen.

c) Diese Klauseln dürfen nicht in einer Weise ausgelegt werden, die den in der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 vorgesehenen Rechten und Pflichten zuwiderläuft oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneidet.

Klausel 4 Vorrang

Im Falle eines Widerspruchs zwischen diesen Klauseln und den Bestimmungen damit zusammenhängender Vereinbarungen, die zwischen den Parteien bestehen oder später eingegangen oder geschlossen werden, haben diese Klauseln Vorrang.

Klausel 5 (fakultativ) Kopplungsklausel

a) Eine Einrichtung, die nicht Partei dieser Klauseln ist, kann diesen Klauseln mit Zustimmung aller Parteien jederzeit als Verantwortlicher oder als Auftragsverarbeiter beitreten, indem sie die Anhänge ausfüllt und Anhang I unterzeichnet.

b) Nach Ausfüllen und Unterzeichnen der unter Buchstabe a genannten Anhänge wird die beitretende Einrichtung als Partei dieser Klauseln behandelt und hat die Rechte und Pflichten eines Verantwortlichen oder eines Auftragsverarbeiters entsprechend ihrer Bezeichnung in Anhang I.

c) Für die beitretende Einrichtung gelten für den Zeitraum vor ihrem Beitritt als Partei keine aus diesen Klauseln resultierenden Rechte oder Pflichten.

ABSCHNITT II: PFLICHTEN DER PARTEIEN

Klausel 6 Beschreibung der Verarbeitung

Die Einzelheiten der Verarbeitungsvorgänge, insbesondere die Kategorien personenbezogener Daten und die Zwecke, für die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden, sind in Anhang II aufgeführt.

Klausel 7 Pflichten der Parteien

7.1 Weisungen

a) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Verantwortliche kann während der gesamten Dauer der Verarbeitung personenbezogener Daten weitere Weisungen erteilen. Diese Weisungen sind stets zu dokumentieren.

b) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass vom Verantwortlichen erteilte Weisungen gegen die Verordnung (EU) 2016/679, die Verordnung (EU) 2018/1725 oder geltende Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstoßen.

7.2 Zweckbindung Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur für den/die in Anhang II genannten spezifischen Zweck(e), sofern er keine weiteren Weisungen des Verantwortlichen erhält.

7.3 Dauer der Verarbeitung personenbezogener Daten Die Daten werden vom Auftragsverarbeiter nur für die in Anhang II angegebene Dauer verarbeitet.

7.4 Sicherheit der Verarbeitung

a) Der Auftragsverarbeiter ergreift mindestens die in Anhang III aufgeführten technischen und organisatorischen Maßnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten. Dies umfasst den Schutz der Daten vor einer Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu den Daten führt (im Folgenden "Verletzung des Schutzes personenbezogener Daten").

Bei der Beurteilung des angemessenen Schutzniveaus tragen die Parteien dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie den für die betroffenen Personen verbundenen Risiken gebührend Rechnung.

b) Der Auftragsverarbeiter gewährt seinem Personal nur insoweit Zugang zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, als dies für die Durchführung, Verwaltung und Überwachung des Vertrags unbedingt erforderlich ist. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der erhaltenen personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7.5 Sensible Daten Falls die Verarbeitung personenbezogene Daten betrifft, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, oder die genetische Daten oder biometrische Daten zum Zweck der eindeutigen Identifizierung einer natürlichen Person, Daten über die Gesundheit, das Sexualleben oder die sexuelle Ausrichtung einer Person oder Daten über strafrechtliche Verurteilungen und Straftaten enthalten (im Folgenden "sensible Daten"), wendet der Auftragsverarbeiter spezielle Beschränkungen und/oder zusätzlichen Garantien an.

7.6 Dokumentation und Einhaltung der Klauseln

a) Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können.

b) Der Auftragsverarbeiter bearbeitet Anfragen des Verantwortlichen bezüglich der Verarbeitung von Daten gemäß diesen Klauseln umgehend und in angemessener Weise.

c) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der in diesen Klauseln festgelegten und unmittelbar aus der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 hervorgehenden Pflichten erforderlich sind. Auf Verlangen des Verantwortlichen gestattet der Auftragsverarbeiter ebenfalls die Prüfung der unter diese Klauseln fallenden Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung und trägt zu einer solchen Prüfung bei.

Bei der Entscheidung über eine Überprüfung oder Prüfung kann der Verantwortliche einschlägige Zertifizierungen des Auftragsverarbeiters berücksichtigen.

d) Der Verantwortliche kann die Prüfung selbst durchführen oder einen unabhängigen Prüfer beauftragen. Die Prüfungen können auch Inspektionen in den Räumlichkeiten oder physischen Einrichtungen des Auftragsverarbeiters umfassen und werden gegebenenfalls mit angemessener Vorankündigung durchgeführt.

e) Die Parteien stellen der/den zuständigen Aufsichtsbehörde(n) die in dieser Klausel genannten Informationen, einschließlich der Ergebnisse von Prüfungen, auf Anfrage zur Verfügung.

7.7 Einsatz von Unterauftragsverarbeitern

a) Der Auftragsverarbeiter besitzt die allgemeine Genehmigung des Verantwortlichen für die Beauftragung von Unterauftragsverarbeitern, die in einer vereinbarten Liste aufgeführt sind. Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens vier Wochen im Voraus ausdrücklich in schriftlicher Form über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern und räumt dem Verantwortlichen damit ausreichend Zeit ein, um vor der Beauftragung des/der betreffenden Unterauftragsverarbeiter/s Einwände gegen diese Änderungen erheben zu können. Der Auftragsverarbeiter stellt dem Verantwortlichen die erforderlichen Informationen zur Verfügung, damit dieser sein Widerspruchsrecht ausüben kann.

b) Beauftragt der Auftragsverarbeiter einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen), so muss diese Beauftragung im Wege eines Vertrags erfolgen, der dem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diejenigen, die für den Auftragsverarbeiter gemäß diesen Klauseln gelten. Der Auftragsverarbeiter stellt sicher, dass der Unterauftragsverarbeiter die Pflichten erfüllt, denen der Auftragsverarbeiter entsprechend diesen Klauseln und gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 unterliegt.

c) Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Verlangen eine Kopie einer solchen Untervergabevereinbarung und etwaiger späterer Änderungen zur Verfügung. Soweit es zum Schutz von Geschäftsgeheimnissen oder anderen vertraulichen Informationen, einschließlich personenbezogener Daten notwendig ist, kann der Auftragsverarbeiter den Wortlaut der Vereinbarung vor der Weitergabe einer Kopie unkenntlich machen.

d) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen in vollem Umfang dafür, dass der Unterauftragsverarbeiter seinen Pflichten gemäß dem mit dem Auftragsverarbeiter geschlossenen Vertrag nachkommt. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen, wenn der Unterauftragsverarbeiter seine vertraglichen Pflichten nicht erfüllt.

e) Der Auftragsverarbeiter vereinbart mit dem Unterauftragsverarbeiter eine Drittbegünstigtenklausel, wonach der Verantwortliche , im Falle, dass der Auftragsverarbeiter faktisch oder rechtlich nicht mehr besteht oder zahlungsunfähig ist , das Recht hat, den Untervergabevertrag zu kündigen und den Unterauftragsverarbeiter anzuweisen, die personenbezogenen Daten zu löschen oder zurückzugeben.

7.8 Internationale Datenübermittlungen

a) Jede Übermittlung von Daten durch den Auftragsverarbeiter an ein Drittland oder eine internationale Organisation erfolgt ausschließlich auf der Grundlage dokumentierter Weisungen des Verantwortlichen oder zur Einhaltung einer speziellen Bestimmung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, und muss mit Kapitel V der Verordnung (EU) 2016/679 oder der Verordnung (EU) 2018/1725 im Einklang stehen.

b) Der Verantwortliche erklärt sich damit einverstanden, dass in Fällen, in denen der Auftragsverarbeiter einen Unterauftragsverarbeiter gemäß Klausel 7.7 für die Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen) in Anspruch nimmt und diese Verarbeitungstätigkeiten eine Übermittlung personenbezogener Daten im Sinne von Kapitel V der Verordnung (EU) 2016/679 beinhalten, der Auftragsverarbeiter und der Unterauftragsverarbeiter die Einhaltung von Kapitel V der Verordnung (EU) 2016/679 sicherstellen können, indem sie Standardvertragsklauseln verwenden, die von der Kommission gemäß Artikel 46 Absatz 2 der Verordnung (EU) 2016/679 erlassen wurden, sofern die Voraussetzungen für die Anwendung dieser Standardvertragsklauseln erfüllt sind.

Klausel 8 Unterstützung des Verantwortlichen

a) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über jeden Antrag, den er von der betroffenen Person erhalten hat. Er beantwortet den Antrag nicht selbst, es sei denn, er wurde vom Verantwortlichen dazu ermächtigt.

b) Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Erfüllung von dessen Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte zu beantworten. Bei der Erfüllung seiner Pflichten gemäß den Buchstaben a und b befolgt der Auftragsverarbeiter die Weisungen des Verantwortlichen.

c) Abgesehen von der Pflicht des Auftragsverarbeiters, den Verantwortlichen gemäß Klausel 8 Buchstabe b zu unterstützen, unterstützt der Auftragsverarbeiter unter Berücksichtigung der Art der Datenverarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen zudem bei der Einhaltung der folgenden Pflichten:

1) Pflicht zur Durchführung einer Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten (im Folgenden "Datenschutz-Folgenabschätzung"), wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat; 2) Pflicht zur Konsultation der zuständigen Aufsichtsbehörde(n) vor der Verarbeitung, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft; 3) Pflicht zur Gewährleistung, dass die personenbezogenen Daten sachlich richtig und auf dem neuesten Stand sind, indem der Auftragsverarbeiter den Verantwortlichen unverzüglich unterrichtet, wenn er feststellt, dass die von ihm verarbeiteten personenbezogenen Daten unrichtig oder veraltet sind; 4) Verpflichtungen gemäß Artikel 32 der Verordnung (EU) 2016/679.

d) Die Parteien legen in Anhang III die geeigneten technischen und organisatorischen Maßnahmen zur Unterstützung des Verantwortlichen durch den Auftragsverarbeiter bei der Anwendung dieser Klausel sowie den Anwendungsbereich und den Umfang der erforderlichen Unterstützung fest.

Klausel 9 Meldung von Verletzungen des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten arbeitet der Auftragsverarbeiter mit dem Verantwortlichen zusammen und unterstützt ihn entsprechend, damit der Verantwortliche seinen Verpflichtungen gemäß den Artikeln 33 und 34 der Verordnung (EU) 2016/679 oder gegebenenfalls den Artikeln 34 und 35 der Verordnung (EU) 2018/1725 nachkommen kann, wobei der Auftragsverarbeiter die Art der Verarbeitung und die ihm zur Verfügung stehenden Informationen berücksichtigt.

9.1 Verletzung des Schutzes der vom Verantwortlichen verarbeiteten Daten Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Verantwortlichen verarbeiteten Daten unterstützt der Auftragsverarbeiter den Verantwortlichen wie folgt:

a) bei der unverzüglichen Meldung der Verletzung des Schutzes personenbezogener Daten an die zuständige(n) Aufsichtsbehörde(n), nachdem dem Verantwortlichen die Verletzung bekannt wurde, sofern relevant (es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen);

b) bei der Einholung der folgenden Informationen, die gemäß Artikel 33 Absatz 3 der Verordnung (EU) 2016/679 in der Meldung des Verantwortlichen anzugeben sind, wobei diese Informationen mindestens Folgendes umfassen müssen: 1) die Art der personenbezogenen Daten, soweit möglich, mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze; 2) die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten; 3) die vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Wenn und soweit nicht alle diese Informationen zur gleichen Zeit bereitgestellt werden können, enthält die ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden, sobald sie verfügbar sind, anschließend ohne unangemessene Verzögerung bereitgestellt;

c) bei der Einhaltung der Pflicht gemäß Artikel 34 der Verordnung (EU) 2016/679, die betroffene Person unverzüglich von der Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, wenn diese Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

9.2 Verletzung des Schutzes der vom Auftragsverarbeiter verarbeiteten Daten Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Auftragsverarbeiter verarbeiteten Daten meldet der Auftragsverarbeiter diese dem Verantwortlichen unverzüglich, nachdem ihm die Verletzung bekannt wurde. Diese Meldung muss zumindest folgende Informationen enthalten:

a) eine Beschreibung der Art der Verletzung (möglichst unter Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und der ungefähren Zahl der betroffenen Datensätze);

b) Kontaktdaten einer Anlaufstelle, bei der weitere Informationen über die Verletzung des Schutzes personenbezogener Daten eingeholt werden können;

c) die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Wenn und soweit nicht alle diese Informationen zur gleichen Zeit bereitgestellt werden können, enthält die ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden, sobald sie verfügbar sind, anschließend ohne unangemessene Verzögerung bereitgestellt.

Die Parteien legen in Anhang III alle sonstigen Angaben fest, die der Auftragsverarbeiter zur Verfügung zu stellen hat, um den Verantwortlichen bei der Erfüllung von dessen Pflichten gemäß Artikel 33 und 34 der Verordnung (EU) 2016/679 zu unterstützen.

ABSCHNITT III: SCHLUSSBESTIMMUNGEN

Klausel 10 Verstöße gegen die Klauseln und Beendigung des Vertrags

a) Falls der Auftragsverarbeiter seinen Pflichten gemäß diesen Klauseln nicht nachkommt, kann der Verantwortliche , unbeschadet der Bestimmungen der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 , den Auftragsverarbeiter anweisen, die Verarbeitung personenbezogener Daten auszusetzen, bis er diese Klauseln einhält oder der Vertrag beendet ist. Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn er aus welchen Gründen auch immer nicht in der Lage ist, diese Klauseln einzuhalten.

b) Der Verantwortliche ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn 1) der Verantwortliche die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter gemäß Buchstabe a ausgesetzt hat und die Einhaltung dieser Klauseln nicht innerhalb einer angemessenen Frist, in jedem Fall aber innerhalb eines Monats nach der Aussetzung, wiederhergestellt wurde; 2) der Auftragsverarbeiter in erheblichem Umfang oder fortdauernd gegen diese Klauseln verstößt oder seine Verpflichtungen gemäß der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 nicht erfüllt; 3) der Auftragsverarbeiter einer bindenden Entscheidung eines zuständigen Gerichts oder der zuständigen Aufsichtsbehörde(n), die seine Pflichten gemäß diesen Klauseln, der Verordnung (EU) 2016/679 und/oder der Verordnung (EU) 2018/1725 zum Gegenstand hat, nicht nachkommt.

c) Der Auftragsverarbeiter ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn der Verantwortliche auf der Erfüllung seiner Anweisungen besteht, nachdem er vom Auftragsverarbeiter darüber in Kenntnis gesetzt wurde, dass seine Anweisungen gegen geltende rechtliche Anforderungen gemäß Klausel 7.1 Buchstabe b verstoßen.

d) Nach Beendigung des Vertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten und bescheinigt dem Verantwortlichen, dass dies erfolgt ist, oder er gibt alle personenbezogenen Daten an den Verantwortlichen zurück und löscht bestehende Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Bis zur Löschung oder Rückgabe der Daten gewährleistet der Auftragsverarbeiter weiterhin die Einhaltung dieser Klauseln.

ANHANG I: LISTE DER PARTEIEN und ANHANG II: BESCHREIBUNG DER VERARBEITUNG

Siehe Anlage A1 (AVV Leistungsbeschreibung) dieses AVV.

ANHANG III: TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN, EINSCHLIESSLICH ZUR GEWÄHRLEISTUNG DER SICHERHEIT DER DATEN

Siehe Anlage A3 (TOM) dieses AVV. Die technischen und organisatorischen Maßnahmen des Auftragsverarbeiters sind in der jeweils geltenden Fassung auf seiner Website veröffentlicht, siehe Ziffer 3.3 des AVV.