Auftragsverarbeitungsvertrag (AVV)

Stand: 22. Oktober 2026

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag" oder „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Nutzung des SaaS-Dienstes UltraNOS (erreichbar unter ultranos.de). Er ist Bestandteil des zwischen den Parteien geschlossenen Hauptvertrags über die Nutzung von UltraNOS (nachfolgend „Hauptvertrag").

Soweit der Auftragsverarbeiter im Rahmen der Erbringung der vertraglichen Leistungen personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet, erfolgt dies auf Grundlage dieses Vertrags im Sinne von Art. 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, nachfolgend „DSGVO").

§ 1 Vertragsparteien

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO (nachfolgend „Verantwortlicher" oder „Kunde"):

Das den Dienst UltraNOS im Rahmen eines geschäftlichen (B2B-)Abonnements nutzende Unternehmen gemäß den im Kundenkonto hinterlegten Stammdaten.

– nachfolgend „Verantwortlicher" –

Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO (nachfolgend „Auftragsverarbeiter" oder „Anbieter"):

• Till Tomczak (Einzelunternehmen)
• c/o Block Services, Stuttgarter Str. 106
• 70736 Fellbach, Deutschland
• E-Mail: ultranos@cnull.net

– nachfolgend „Auftragsverarbeiter" –

– beide gemeinsam „Parteien" –

§ 2 Gegenstand, Art, Zweck und Dauer der Verarbeitung

(1) Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb des SaaS-Dienstes UltraNOS, eines self-hostbaren, KI-nativen Browser-Workspaces, sowie der damit verbundenen Funktionen (Mehrmandantenfähigkeit, Konto- und Abonnementverwaltung, KI-gestützte Verarbeitung von Eingaben). Die Einzelheiten ergeben sich aus dem Hauptvertrag.

(2) Art und Zweck der Verarbeitung: Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der vertragsgemäßen Erbringung der Dienstleistungen gegenüber dem Verantwortlichen. Dies umfasst insbesondere das Erheben, Erfassen, Speichern, Auslesen, Übermitteln (an genehmigte Unterauftragsverarbeiter), Verändern, Löschen und sonstige Verwenden personenbezogener Daten im Rahmen des Betriebs von UltraNOS.

(3) Eine eigene Verwendung der im Auftrag verarbeiteten Daten zu eigenen Zwecken des Auftragsverarbeiters (insbesondere zu Werbezwecken oder zum Training eigener KI-Modelle) ist ausgeschlossen.

(4) Die nähere Beschreibung von Gegenstand, Art, Umfang und Zweck der Verarbeitung sowie der Arten personenbezogener Daten und der Kategorien betroffener Personen ergibt sich aus Anlage 1 (Verarbeitungsbeschreibung), die Bestandteil dieses Vertrags ist.

(5) Dauer: Dieser Vertrag gilt für die Laufzeit des Hauptvertrags. Er beginnt mit dessen Wirksamwerden und endet mit dessen Beendigung, unabhängig vom Kündigungsgrund. Die Pflichten zur Löschung bzw. Rückgabe der Daten (§ 11) sowie etwaige gesetzliche Aufbewahrungspflichten bestehen über das Vertragsende hinaus fort.

§ 3 Art der Daten und Kategorien betroffener Personen

(1) Arten der verarbeiteten personenbezogenen Daten (siehe im Einzelnen Anlage 1):

• Konto- und Stammdaten (Name, E-Mail-Adresse, Passwort in gehashter Form mittels PBKDF2, API-Schlüssel, JWT-Token-Bezüge);
• Vertrags- und Abonnementdaten (gewählter Plan: Starter/Pro/Team, Vertragsstatus);
• Nutzungs- und Inhaltsdaten (vom Verantwortlichen bzw. seinen Nutzern in den Workspace eingegebene Inhalte, Eingaben an KI-Funktionen);
• Nutzungs- und Verbindungsdaten / Server-Logs (IP-Adresse, Zeitstempel, technische Metadaten);
• Zahlungsbezogene Daten (über den Zahlungsdienstleister Stripe abgewickelt; vollständige Zahlungsdaten wie Kartennummern werden ausschließlich von Stripe verarbeitet).

(2) Kategorien betroffener Personen (siehe im Einzelnen Anlage 1):

• Mitarbeiter, Beschäftigte und Nutzer des Verantwortlichen mit Zugang zu UltraNOS;
• Ansprechpartner und Vertragsverwalter des Verantwortlichen;
• weitere natürliche Personen, deren personenbezogene Daten der Verantwortliche bzw. seine Nutzer in den Workspace einstellen.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der vertraglichen Verarbeitung, es sei denn, die Parteien vereinbaren dies ausdrücklich und ergänzend in Anlage 1. Der Verantwortliche stellt grundsätzlich sicher, dass keine besonderen Kategorien personenbezogener Daten ohne entsprechende zusätzliche Schutzmaßnahmen in den Dienst eingestellt werden.

§ 4 Weisungsbindung des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach den dokumentierten Weisungen des Verantwortlichen (Art. 28 Abs. 3 lit. a, Art. 29 DSGVO). Dies gilt auch für die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, es sei denn, der Auftragsverarbeiter ist hierzu nach dem Recht der Union oder der Mitgliedstaaten verpflichtet; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die diesem Vertrag und seinen Anlagen zugrunde liegende Leistungsbeschreibung sowie die Konfiguration des Dienstes durch den Verantwortlichen gelten als dokumentierte Weisung. Einzelweisungen, die über die vertraglich vereinbarte Leistung hinausgehen, sind in Textform zu erteilen.

(3) Hinweispflicht: Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt, so informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 S. 3 DSGVO). Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung bis zur Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

(4) Mündliche Weisungen bestätigt der Verantwortliche unverzüglich in Textform. Der Auftragsverarbeiter dokumentiert die ihm erteilten Weisungen.

§ 5 Vertraulichkeit

(1) Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

(2) Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung der jeweiligen Tätigkeit und des Vertrags fort.

(3) Der Auftragsverarbeiter gewährleistet, dass die mit der Verarbeitung betrauten Personen mit den einschlägigen datenschutzrechtlichen Bestimmungen vertraut sind und entsprechend geschult werden.

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen die erforderlichen technischen und organisatorischen Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO).

(2) Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben und Bestandteil dieses Vertrags.

(3) Die TOM unterliegen dem technischen und organisatorischen Fortschritt. Der Auftragsverarbeiter ist berechtigt, alternative Maßnahmen umzusetzen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert der Auftragsverarbeiter und teilt sie dem Verantwortlichen auf Anfrage mit.

(4) Die Maßnahmen umfassen insbesondere die Pseudonymisierung und Verschlüsselung, die Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die Fähigkeit zur raschen Wiederherstellung der Verfügbarkeit nach einem Zwischenfall sowie ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit die allgemeine schriftliche Genehmigung zur Einbeziehung weiterer Auftragsverarbeiter (Unterauftragsverarbeiter) im Sinne des Art. 28 Abs. 2 S. 2 und Abs. 4 DSGVO. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 abschließend aufgeführt und werden vom Verantwortlichen mit Abschluss dieses Vertrags genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern und räumt dem Verantwortlichen damit die Möglichkeit ein, gegen derartige Änderungen Einspruch zu erheben. Die Information erfolgt in Textform (z. B. per E-Mail an die hinterlegte Kontaktadresse oder durch Veröffentlichung mit gesonderter Benachrichtigung) mit einer Frist von in der Regel mindestens 14 Tagen vor dem Wirksamwerden der Änderung.

(3) Widerspricht der Verantwortliche innerhalb der genannten Frist aus einem berechtigten, datenschutzrechtlich begründeten Anlass, sind die Parteien bemüht, eine einvernehmliche Lösung zu finden. Kann eine solche nicht erzielt werden, steht dem Verantwortlichen ein außerordentliches Kündigungsrecht hinsichtlich der betroffenen Leistung zu.

(4) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten, wie sie in diesem Vertrag festgelegt sind, insbesondere zur Gewährleistung hinreichender Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

(5) Nicht als Unterauftragsverarbeitung im Sinne dieses Paragraphen gelten Nebenleistungen, die der Auftragsverarbeiter als reine Hilfsdienstleistungen in Anspruch nimmt (z. B. Telekommunikationsleistungen, Wartung, Reinigung), sofern sie keine Verarbeitung personenbezogener Daten des Verantwortlichen zum Gegenstand haben.

§ 8 Unterstützung des Verantwortlichen bei Betroffenenrechten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte nachzukommen (Art. 28 Abs. 3 lit. e DSGVO). Dies betrifft insbesondere die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie das Widerspruchsrecht.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, es sei denn, er wurde hierzu vom Verantwortlichen angewiesen.

(3) Soweit der Aufwand für Unterstützungsleistungen, die über die Bereitstellung der im Dienst vorgesehenen Standardfunktionen hinausgehen, beim Auftragsverarbeiter einen erheblichen zusätzlichen Aufwand verursacht und auf einem Umstand beruht, der nicht vom Auftragsverarbeiter zu vertreten ist, kann dieser eine angemessene Vergütung verlangen, sofern dies vorher angekündigt wurde.

§ 9 Unterstützung bei Sicherheit, Meldungen und Datenschutz-Folgenabschätzung

Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Art. 28 Abs. 3 lit. f DSGVO), insbesondere bei:

• der Gewährleistung der Sicherheit der Verarbeitung (Art. 32);
• der Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde (Art. 33) und der Benachrichtigung der betroffenen Personen (Art. 34);
• der Durchführung einer Datenschutz-Folgenabschätzung (Art. 35) sowie der vorherigen Konsultation der Aufsichtsbehörde (Art. 36).

§ 10 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntniserlangung, in Textform (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält, soweit verfügbar, mindestens:

• eine Beschreibung der Art der Verletzung, einschließlich – soweit möglich – der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze;
• den Namen und die Kontaktdaten einer Anlaufstelle für weitere Informationen;
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung;
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

(3) Soweit nicht alle Informationen zugleich bereitgestellt werden können, erfolgt die Meldung in Etappen ohne unangemessene weitere Verzögerung.

(4) Der Auftragsverarbeiter ergreift unverzüglich die zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen erforderlichen Maßnahmen und dokumentiert die Verletzung sowie die getroffenen Abhilfemaßnahmen.

§ 11 Löschung und Rückgabe nach Abschluss der Verarbeitung

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten oder gibt sie dem Verantwortlichen zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung der Daten besteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Der Verantwortliche kann das Datenexport-/Rückgabeverlangen bis zum Wirksamwerden der Vertragsbeendigung geltend machen. Erfolgt keine abweichende Wahl, werden die Daten nach Ablauf einer angemessenen Frist nach Vertragsende gelöscht.

(3) Die Löschung erfolgt nach dem Stand der Technik datenschutzkonform. Backups werden im Rahmen der regulären Backup-Zyklen gelöscht. Der Auftragsverarbeiter weist die Löschung auf Verlangen in geeigneter Weise nach.

(4) Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, dürfen über das Vertragsende hinaus entsprechend den jeweiligen Aufbewahrungsfristen aufbewahrt werden.

§ 12 Nachweise, Kontrollen und Audits

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von diesem beauftragten anderen Prüfer durchgeführt werden, und trägt zu diesen bei (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis kann erfolgen durch:

• die Einhaltung genehmigter Verhaltensregeln (Art. 40 DSGVO) oder eines genehmigten Zertifizierungsverfahrens (Art. 42 DSGVO);
• aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z. B. Wirtschaftsprüfer, Datenschutzauditoren) oder geeignete Zertifizierungen durch IT-Sicherheits- oder Datenschutzaudits;
• eine geeignete Dokumentation der getroffenen technischen und organisatorischen Maßnahmen.

(3) Reichen die vorgelegten Nachweise nicht aus, kann der Verantwortliche nach vorheriger Anmeldung mit angemessener Frist (in der Regel mindestens 14 Tage) und während der üblichen Geschäftszeiten Kontrollen vor Ort durchführen, ohne den Betriebsablauf des Auftragsverarbeiters unverhältnismäßig zu stören. Vor-Ort-Kontrollen sind grundsätzlich auf das erforderliche Maß zu beschränken und höchstens einmal jährlich anlasslos durchzuführen; bei konkreten Anlässen (z. B. nach einer Datenschutzverletzung oder auf Anordnung einer Aufsichtsbehörde) auch häufiger.

(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt.

§ 13 Drittlandtransfers (Art. 44 ff. DSGVO)

(1) Eine Übermittlung personenbezogener Daten in ein Drittland (außerhalb der EU/des EWR) erfolgt nur, soweit die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind und der Verantwortliche dies (auch durch Genehmigung der entsprechenden Unterauftragsverarbeiter gemäß Anlage 3) angewiesen bzw. genehmigt hat.

(2) Im Rahmen der Leistungserbringung kommt es insbesondere bei folgenden Diensten zu einer Verarbeitung bzw. Übermittlung in die USA:

• Stripe (Zahlungsabwicklung) – Stripe, Inc. (USA) / Stripe Payments Europe Ltd. (Irland);
• Anthropic (KI-Sprachmodelle) – Anthropic, PBC (USA);
• OpenAI (KI-Sprachmodelle) – OpenAI, L.L.C. / OpenAI Ireland Ltd. (USA/Irland).

(3) Die Absicherung der Drittlandtransfers erfolgt vorrangig über den Angemessenheitsbeschluss der EU-Kommission auf Grundlage des EU-US Data Privacy Framework (DPF), soweit der jeweilige Empfänger gültig zertifiziert ist und der Übermittlungsumfang von der Zertifizierung erfasst wird. Ergänzend bzw. ersatzweise – insbesondere für den Fall, dass eine Zertifizierung nicht (mehr) vorliegt, nicht den maßgeblichen Übermittlungsumfang abdeckt oder der Angemessenheitsbeschluss wegfällt – werden die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914) nebst erforderlichenfalls einem Transfer-Impact-Assessment (TIA) sowie zusätzlichen Schutzmaßnahmen herangezogen.

(4) Der Auftragsverarbeiter überwacht den fortbestehenden Zertifizierungs- und Absicherungsstatus der eingesetzten Drittland-Empfänger und passt die Transfermechanismen bei Bedarf an. Der jeweils aktuelle Status ist in Anlage 3 dokumentiert.

(5) Der Auftragsverarbeiter stellt sicher, dass mit den in Absatz 2 genannten Empfängern jeweils ein dem Stand der Technik und der Rechtslage entsprechender Datenverarbeitungs- bzw. Drittlandvertrag besteht, der das nach der DSGVO geforderte Schutzniveau gewährleistet.

§ 14 Haftung und Verantwortlichkeit

(1) Die Haftung der Parteien richtet sich nach Art. 82 DSGVO sowie den Regelungen des Hauptvertrags. Im Verhältnis zur betroffenen Person bleibt die gesetzliche Haftungsverteilung des Art. 82 DSGVO unberührt.

(2) Der Verantwortliche ist im Rahmen dieses Vertrags allein für die Zulässigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich („Herr der Daten").

§ 15 Schlussbestimmungen

(1) Dieser Vertrag und seine Anlagen gehen bei Widersprüchen zu datenschutzrechtlichen Regelungen des Hauptvertrags vor. Im Übrigen gelten die Regelungen des Hauptvertrags ergänzend.

(2) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.

(3) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, so wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine wirksame zu ersetzen, die dem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt.

(4) Es gilt das Recht der Bundesrepublik Deutschland unter Beachtung der unmittelbar geltenden Vorschriften der DSGVO.

(5) Gerichtsstand ist – soweit gesetzlich zulässig – der Sitz des Auftragsverarbeiters.

Anlage 1 – Beschreibung der Verarbeitung

Gegenstand der Verarbeitung: Bereitstellung und Betrieb des SaaS-Dienstes UltraNOS einschließlich Konto-, Abonnement- und Nutzungsverwaltung sowie KI-gestützter Funktionen.

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln (an genehmigte Unterauftragsverarbeiter), Einschränken, Löschen, Vernichten.

Zweck der Verarbeitung: Vertragsgemäße Erbringung der Leistungen gemäß Hauptvertrag; Authentifizierung und Kontoverwaltung; Abrechnung/Zahlungsabwicklung; Betrieb, Wartung und Sicherheit der Infrastruktur; Verarbeitung von Nutzereingaben durch KI-Funktionen.

Dauer der Verarbeitung: Für die Laufzeit des Hauptvertrags zzgl. der Fristen für Löschung/Rückgabe und gesetzlicher Aufbewahrungspflichten.

Arten personenbezogener Daten:

Kategorien betroffener Personen: Beschäftigte/Nutzer des Verantwortlichen mit Zugang zu UltraNOS; Ansprechpartner/Vertragsverwalter; weitere natürliche Personen, deren Daten in den Workspace eingestellt werden.

Besondere Datenkategorien (Art. 9 DSGVO): Nicht vorgesehen, sofern nicht ausdrücklich ergänzt.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutrittskontrolle: Schutz der Server-/Hosting-Umgebung gegen unbefugten physischen Zutritt (Rechenzentrumssicherheit des Hosting-Dienstleisters, Zutrittskontrollsysteme).
• Zugangskontrolle: Authentifizierung mittels individueller Benutzerkonten, Passwörter werden ausschließlich gehasht (PBKDF2) gespeichert; JWT-basierte Sitzungsverwaltung; API-Schlüssel-Verwaltung.
• Zugriffskontrolle: Rollen- und Rechtekonzept, Mandantentrennung (Multi-Tenant-Architektur), Beschränkung des Datenzugriffs auf das erforderliche Maß (Need-to-know-Prinzip).
• Trennungskontrolle: Logische Trennung der Daten verschiedener Mandanten; Trennung von Produktiv-, Test- und Entwicklungsumgebungen.
• Pseudonymisierung/Verschlüsselung: Transportverschlüsselung (TLS) für die Datenübertragung; Verschlüsselung gespeicherter Daten nach Stand der Technik, soweit umgesetzt.

2. Integrität

• Weitergabekontrolle: Verschlüsselte Übertragung; dokumentierte Schnittstellen zu genehmigten Unterauftragsverarbeitern.
• Eingabekontrolle: Protokollierung wesentlicher Verarbeitungsvorgänge (Logging); Nachvollziehbarkeit von Eingaben, Änderungen und Löschungen.

3. Verfügbarkeit und Belastbarkeit

• Verfügbarkeitskontrolle: Backup-Konzept, Schutz vor Datenverlust; Maßnahmen gegen Schadsoftware und unbefugte Eingriffe; Monitoring.
• Rasche Wiederherstellbarkeit: Verfahren zur Wiederherstellung der Verfügbarkeit nach physischen oder technischen Zwischenfällen (Wiederanlauf-/Recovery-Prozesse).

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Datenschutz-Management: Regelmäßige Überprüfung und Aktualisierung der TOM; Schulung und Verpflichtung der Beschäftigten.
• Incident-Response: Prozess zur Erkennung, Meldung und Bearbeitung von Datenschutzverletzungen (siehe § 10).
• Auftragskontrolle: Vertragliche Verpflichtung der Unterauftragsverarbeiter; Kontrolle der Einhaltung.
• Datenschutzfreundliche Voreinstellungen (Art. 25): Der Client speichert Daten lokal (localStorage); kein Tracking, keine Werbe-Cookies.

Anlage 3 – Liste der genehmigten Unterauftragsverarbeiter

Dieser Auftragsverarbeitungsvertrag wird mit Abschluss bzw. Annahme im Rahmen des Hauptvertrags über UltraNOS zwischen den Parteien wirksam. Stand: 2026-10-22.