Auftragsverarbeitungsvertrag (Anhang A) — Fassung 2026-08-02.2
Anbieter: Rolsing & Kokorin GbR · kurzhand.de
Unveränderter Wortlaut aus dem Rechtstextarchiv. Die im Register hinterlegte SHA-256-Prüfsumme bezieht sich auf den Text unterhalb der Trennlinie.
────────────────────────────────────────────────────────────────────────

RechtlichesAuftragsverarbeitungsvertrag
Anhang A zu den Allgemeinen Geschäftsbedingungen · Stand: August 2026 · Version 2026-08-02.2 · Art. 28 DSGVO
Dieser Vertrag wird bei der Registrierung neben den AGB gesondert verlinkt, versioniert und aktiv einbezogen. Er regelt die Auftragsverarbeitung personenbezogener Daten der Kunden des Nutzers durch kurzhand im Sinne des Art. 28 DSGVO.
Verantwortlicher: Der Nutzer von kurzhand.de (Handwerker/Handwerksbetrieb, registrierter Vertragspartner)
Auftragsverarbeiter:Rolsing & Kokorin GbR, Leanderweg 4, 56727 Mayen · datenschutz@kurzhand.de
§ 1 Gegenstand und Dauer der Verarbeitung
(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der SaaS-Plattform kurzhand.de.
(2) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erbringung der im Hauptvertrag (AGB) geregelten Leistungen: Erstellung, Speicherung, Berechnung und Versand von Angeboten, Aufträgen und Rechnungen sowie zugehöriger kaufmännischer Dokumente (PDF und separate XML-Dateien) des Verantwortlichen.
(3) Die Dauer der Verarbeitung entspricht der Laufzeit des kurzhand-Nutzungsvertrags. Die Kündigung eines kostenpflichtigen Tarifs beendet diesen Hauptvertrag nicht; das Konto wird lediglich in den Tarif „Kostenlos“ zurückgestuft. Bei Löschung des Kontos gilt § 8 dieses Vertrags.
§ 2 Art und Zweck der Verarbeitung sowie Datenkategorien
(1) Zweck der Verarbeitung ist die technische Unterstützung des Verantwortlichen bei der Erstellung und Verwaltung kaufmännischer Dokumente gegenüber seinen Kunden, bei der Dokumentation von Aufträgen, Abnahmen und Mängeln einschließlich zugehöriger Fotos, bei der digitalen Annahme und Unterzeichnung freigegebener Dokumente sowie — bei Nutzung der Team-Funktion — bei der Verwaltung seines Teams und der Erfassung von Arbeitszeiten seiner Monteure (einschließlich Änderungsprotokollen zur Unterstützung gesetzlicher Aufzeichnungspflichten des Verantwortlichen).
(2) Es werden folgende Kategorien personenbezogener Daten verarbeitet, soweit sie vom Verantwortlichen eingegeben werden:
Stammdaten: Vor- und Nachname, Firmenname, Anschrift (Straße, PLZ, Ort)
Kontaktdaten: E-Mail-Adresse, Telefonnummer
Kaufmännische Daten: Angebots- und Rechnungsnummern, Leistungsbeschreibungen, Netto- und Bruttobeträge, Zahlungsstatus, Fälligkeitsdaten
Beschäftigtendaten der Team-Funktion: E-Mail-Adresse und Name eingeladener Monteure, Team-Zugehörigkeit und Auftragszuweisungen, Arbeitszeitdaten (Datum, Beginn/Ende, Pausen, Dauer, Tätigkeit) einschließlich Änderungs- und Team-Protokollen (Korrekturgründe, ändernde Person, Einladungs-, Zuweisungs- und Anmelde-Ereignisse), Abwesenheiten (Urlaubskontingent sowie Zeitraum, Kategorie und Status einer Abwesenheit — Urlaub, Krankheit, Berufsschule, Fortbildung, Sonderurlaub oder sonstige Abwesenheit —, Korrektur-Anträge und die zugehörigen Entscheidungen)
Gesundheitsdaten (besondere Kategorie nach Art. 9 DSGVO): bei Krankmeldungen ausschließlich der Zeitraum der Arbeitsunfähigkeit („von–bis"), der Bearbeitungsstatus und die Angabe, ob eine Bescheinigung vorliegt (ja/nein) — keine Diagnose, keine Beschwerden, keine Behandlung, keine Medikamente, kein Arztname, kein Ausstellungsdatum und keine Datei. Ein Freitextfeld zur Krankmeldung gibt es nicht; die Anwendung weist entsprechende Eingaben serverseitig zurück
Leistungsort: Baustellen- bzw. Einsatzadresse eines Auftrags, soweit sie vom Verantwortlichen erfasst wird
Dokumentations- und Nachweisdaten: Fotos zur Auftrags- und Abnahmedokumentation (einschließlich der darauf erkennbaren Personen und Objekte), Mängelbeschreibungen sowie das Ergebnis einer Abnahme
Unterschriftsdaten bei digitaler Angebotsannahme und Abnahme: Unterschriftsbild, eingegebener Name des Unterzeichners, Zeitpunkt der Unterzeichnung, IP-Adresse und Browserkennung (User-Agent) des Unterzeichners sowie eine Prüfsumme und eine inhaltliche Momentaufnahme des unterzeichneten Dokuments (Beweissicherung und Schutz vor nachträglicher Veränderung)
Zugriffszeitpunkte: Zeitpunkt des ersten Aufrufs eines über einen öffentlichen Link freigegebenen Angebots oder einer Abnahme durch den Empfänger
Technische Daten: Download- und Bestätigungs-Token für den Dokumentabruf und die Angebotsannahme (zeitlich befristet, kryptographisch generiert)
(3) Über die Krankmeldungen der Team-Funktion hinaus ist die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO nicht bestimmungsgemäß vorgesehen. Für Krankmeldungen beschränkt sich die Verarbeitung auf Zeitraum, Status und das Vorliegen einer Bescheinigung; Rechtsgrundlage ist Art. 9 Abs. 2 lit. b DSGVO i. V. m. § 26 Abs. 3 BDSG (Arbeitsrecht), für die der Verantwortliche einzustehen hat. Der Auftragsverarbeiter setzt diese Beschränkung technisch durch: An einer Krankmeldung ist kein Freitext möglich; ein solcher Versuch wird auf Ebene der Anwendung und der Datenbank zurückgewiesen. Da andere Freitextfelder und versandte Dokumente gleichwohl besondere Kategorien enthalten können, darf der Verantwortliche solche Angaben nur eingeben, wenn hierfür eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO besteht und er den Auftragsverarbeiter entsprechend angewiesen hat.
§ 3 Betroffene Personengruppen
Von der Verarbeitung betroffene Personengruppen sind die Kunden des Verantwortlichen (natürliche Personen und Ansprechpartner von Unternehmen), die im Rahmen von Handwerksleistungen mit dem Verantwortlichen in Geschäftsbeziehung stehen, sowie — bei Nutzung der Team-Funktion — die vom Verantwortlichen eingeladenen Beschäftigten bzw. beauftragten Monteure. Der Verantwortliche informiert seine Monteure gemäß Art. 13/14 DSGVO über die Verarbeitung ihrer Daten in kurzhand.
§ 4 Pflichten und Rechte des Verantwortlichen
(1) Der Verantwortliche ist allein verantwortlich für die Rechtmäßigkeit der Verarbeitung der Kundendaten im Verhältnis zu seinen Kunden. Er stellt sicher, dass für die Eingabe, Speicherung und Verarbeitung der Kundendaten in kurzhand eine geeignete Rechtsgrundlage nach Art. 6 DSGVO besteht (regelmäßig Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung mit dem Kunden des Verantwortlichen).
(2) Der Verantwortliche erteilt dem Auftragsverarbeiter Weisungen über Art, Umfang und Verfahren der Verarbeitung. Weisungen erfolgen in der Regel durch Nutzung der Systemfunktionen (konkludente Weisung durch Bedienung der Software). Weitergehende Weisungen sind in Textform an datenschutz@kurzhand.de zu richten.
(3) Der Verantwortliche hat das Recht, die Einhaltung dieses Vertrags beim Auftragsverarbeiter zu kontrollieren (§ 7 dieses Vertrags).
§ 5 Pflichten des Auftragsverarbeiters
(1) Weisungsgebundenheit. Der Auftragsverarbeiter verarbeitet personenbezogene Daten des Verantwortlichen ausschließlich auf dokumentierte Weisung des Verantwortlichen und nicht für eigene Zwecke. Das gilt auch für die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, teilt er dies dem Verantwortlichen unverzüglich mit.
(1a) Gesetzliche Ausnahme. Ist der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats, dem er unterliegt, zu einer Verarbeitung oder zu einer Übermittlung in ein Drittland verpflichtet, teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit — es sei denn, das betreffende Recht verbietet eine solche Mitteilung wegen eines wichtigen öffentlichen Interesses (Art. 28 Abs. 3 lit. a DSGVO).
(2) Vertraulichkeit. Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung der personenbezogenen Daten befugten Personen einer angemessenen Vertraulichkeitsverpflichtung unterliegen.
(3) Technisch-organisatorische Maßnahmen (Art. 32 DSGVO). Der Auftragsverarbeiter implementiert und unterhält geeignete technische und organisatorische Maßnahmen zur Sicherung der verarbeiteten Daten. Maßgeblich ist Anlage 2 zu diesem Vertrag (unten). Der Auftragsverarbeiter ist berechtigt, die Maßnahmen im Laufe der Zeit anzupassen, sofern das erreichte Sicherheitsniveau nicht unterschritten wird.
(4) Unterstützung bei Betroffenenrechten. Der Auftragsverarbeiter unterstützt den Verantwortlichen im zumutbaren Rahmen bei der Erfüllung seiner Pflichten aus den Art. 12–22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenportabilität, Widerspruch), soweit diese Pflichten Daten betreffen, die über kurzhand verarbeitet werden. Anfragen Betroffener, die direkt beim Auftragsverarbeiter eingehen, werden unverzüglich an den Verantwortlichen weitergeleitet.
(5) Unterstützung bei Datensicherheitsverletzungen. Der Auftragsverarbeiter meldet dem Verantwortlichen Datensicherheitsverletzungen, die die verarbeiteten Kundendaten betreffen, unverzüglich nach Kenntniserlangung unter Angabe der verfügbaren Informationen nach Art. 33 Abs. 3 DSGVO. Geschuldet ist die unverzügliche Meldung; im Regelfall erfolgt sie innerhalb von 24 Stunden nach Kenntniserlangung. Stehen zum Zeitpunkt der Meldung noch nicht alle Informationen zur Verfügung, werden sie ohne unangemessene weitere Verzögerung nachgereicht (Art. 33 Abs. 4 DSGVO). Dies dient der Einhaltung der Meldefrist des Verantwortlichen nach Art. 33 Abs. 1 DSGVO (72 Stunden an die Aufsichtsbehörde).
(6) DSFA- und Vorab-Konsultations-Unterstützung. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Durchführung von Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO sowie bei der Vorab-Konsultation nach Art. 36 DSGVO, soweit die Verarbeitung durch kurzhand betroffen ist.
(7) Keine weiteren Datenübermittlungen. Der Auftragsverarbeiter übermittelt personenbezogene Daten des Verantwortlichen nicht an Dritte, es sei denn, dies ist zur Leistungserbringung erforderlich und durch den Einsatz genehmigter Unterauftragsverarbeiter gedeckt (§ 6 dieses Vertrags) oder der Verantwortliche hat ausdrücklich zugestimmt.
§ 6 Unterauftragsverarbeiter
(1) Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu, die für die Kernfunktionalität von kurzhand eingesetzt werden. Die Zustimmung wird durch die aktive Einbeziehung dieses AVV bei Vertragsschluss erteilt (Art. 28 Abs. 2 DSGVO).
AnbieterSitz / DatenstandortFunktionTransfermechanismus
Supabase, Inc.USA / Datenspeicherung EU-Irland (AWS eu-west-1)Datenbankhosting (PostgreSQL), AuthentifizierungSCCs 2021/914; Inhaltsdaten in EU gespeichert
Vercel, Inc.USAAnwendungshosting, Ausführung der Serverlogik, Auslieferung über ein Content-Delivery-Netzwerk; verarbeitet technische Verbindungsdaten (u. a. IP-Adresse) in Betriebs- und SicherheitsprotokollenEU-US Data Privacy Framework (Art. 45 DSGVO); ergänzend EU-Standardvertragsklauseln (SCCs)
Plus Five Five, Inc. (Resend)USATransaktionaler E-Mail-Versand (Rechnungen, Angebote an Endkunden des Nutzers); bei aktivierter Funktion „Mail-Eingang" zusätzlich Empfang von E-Mails Dritter an die betriebseigene Eingangsadresse einschließlich Anhängen (Datenkategorie: eingehende Anfragen Dritter an den Nutzer)EU-US Data Privacy Framework; ergänzend SCCs 2021/914
Microsoft Ireland Operations Limited (Microsoft 365)Irland / weitere Microsoft-VerarbeitungsstandorteGeschäftlicher E-Mail-Empfang; verarbeitet insbesondere Antworten von Endkunden auf versendete Angebote und RechnungenMicrosoft Data Protection Addendum; für etwaige Drittlandübermittlungen SCCs 2021/914
Functional Software, Inc. (Sentry)USAFehlermonitoring (anwendungsseitige Filter für Request-Inhalte, sensible URL-Felder und Cookies; Session Replay deaktiviert)EU-US Data Privacy Framework; ergänzend SCCs 2021/914
Upstash, Inc.USA / Datenspeicherung EU-Frankfurt (AWS eu-central-1)Rate-Limiting (Redis); verarbeitet pseudonyme Begrenzungsschlüssel und Zähler, keine DokumentinhalteEU-Standardvertragsklauseln (SCCs 2021/914); Daten in der EU gespeichert (Primärregion Frankfurt, keine Replikation in Drittländer). Eine Zertifizierung nach dem EU-US Data Privacy Framework wird für diesen Anbieter nicht in Anspruch genommen.
OpenAI Ireland Ltd.Irland / Unterauftragsverarbeitung in weiteren Ländern möglichKI-Assistent (optionale Funktion); verarbeitet Endkundendaten des Nutzers nur nach dessen ausdrücklicher Aktivierung des KI-Assistenten (dokumentierte Weisung, jederzeit in den Einstellungen widerruflich) und nur bei aktiver Nutzung des Features. Umfasst bei Nutzung von „Angebot aus Sprache/Foto" hochgeladene Sprachaufnahmen und Fotos sowie bei aktiviertem „Mail-Eingang" Inhalte eingehender Anfragen Dritter (E-Mail-Text, Bild-Anhänge) — jeweils nur transient zur Auswertung, ohne dauerhafte Speicherung durch kurzhand.OpenAI-DPA; API-Inhalte werden standardmäßig nicht zum Modelltraining verwendet. Missbrauchsüberwachungsprotokolle können Inhalte grundsätzlich bis zu 30 Tage enthalten; Zero Data Retention ist für dieses Konto nicht nachgewiesen
Hinweis:Stripe Payments Europe, Limited ist kein Unterauftragsverarbeiter von kurzhand für Endkundendaten des Nutzers. Endkundendaten des Nutzers werden nicht an Stripe übermittelt. Stripe verarbeitet ausschließlich Daten aus dem Vertragsverhältnis zwischen dem Nutzer und der Rolsing & Kokorin GbR. Die Rolle von Stripe ist dabei nach Verarbeitungszweck geteilt; sie ist in Abschnitt 3 d) der Datenschutzhinweise im Einzelnen beschrieben.
Die optionale Spracheingabe wird durch die Web-Speech-Funktion des vom Nutzer gewählten Browsers bereitgestellt. Google bzw. Apple werden dabei nicht von kurzhand als Unterauftragsverarbeiter beauftragt. Der Nutzer erhält vor Aktivierung des Mikrofons einen Hinweis und kann stattdessen jederzeit die Texteingabe verwenden.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen der Unterauftragsverarbeiter-Liste (Hinzufügen oder Ersetzen) mindestens 30 Tage im Voraus in Textform, z. B. per E-Mail; die Liste in Anlage 3 wird zugleich aktualisiert.
(2a) Der Verantwortliche kann der beabsichtigten Änderung innerhalb von 30 Tagen nach Bekanntgabe widersprechen. Der Widerspruch ist zu begründen; anzugeben sind die datenschutzrechtlichen Gründe, aus denen der Einsatz des neuen Unterauftragsverarbeiters aus Sicht des Verantwortlichen nicht in Betracht kommt.
(2b) Bei einem begründeten Widerspruch suchen die Parteien gemeinsam nach einer Lösung, insbesondere nach einer zumutbaren Alternative oder nach ergänzenden Schutzmaßnahmen. Kommt innerhalb von 30 Tagen nach Zugang des Widerspruchs keine Einigung zustande und hält der Auftragsverarbeiter an dem Unterauftragsverarbeiter fest, kann der Verantwortliche den Nutzungsvertrag zum Zeitpunkt des beabsichtigten Einsatzes außerordentlich kündigen. Bereits im Voraus gezahlte Entgelte werden für den nicht genutzten Zeitraum anteilig erstattet. (Diese Regelung ersetzt die frühere Zustimmungsfiktion; sie ist so gefasst, dass dem Widerspruch eine tatsächliche Folge zukommt.)
(2c) Widerspricht der Verantwortliche nicht innerhalb der Frist nach Absatz 2a, wird die Änderung mit Ablauf der Ankündigungsfrist wirksam. Das Recht, dem Einsatz später aus wichtigem datenschutzrechtlichem Grund zu widersprechen, bleibt unberührt.
(3) Der Auftragsverarbeiter stellt durch vertragliche Vereinbarungen mit den Unterauftragsverarbeitern sicher, dass diese denselben Datenschutzpflichten unterliegen wie der Auftragsverarbeiter gegenüber dem Verantwortlichen (Art. 28 Abs. 4 DSGVO).
§ 7 Nachweispflichten und Kontrollen
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.
(2) Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrags durch den Auftragsverarbeiter zu kontrollieren. Kontrollen sind mindestens 14 Tage im Voraus anzukündigen, auf das Notwendige zu beschränken und dürfen den Geschäftsbetrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigen. Der Auftragsverarbeiter kann statt einer Vor-Ort-Kontrolle die Vorlage aktueller Nachweise (z. B. Auditergebnis eines qualifizierten Dritten) anbieten, sofern diese die fraglichen Bereiche abdecken.
(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung des Verantwortlichen gegen datenschutzrechtliche Vorschriften der Union oder der Mitgliedstaaten verstößt (Art. 28 Abs. 3 lit. h DSGVO).
§ 8 Löschung und Rückgabe nach Vertragsende
(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen werden die im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben (Art. 28 Abs. 3 lit. g DSGVO). Die Rückgabe erfolgt über die in der Anwendung vorhandenen Exportfunktionen (Absatz 2); der Verantwortliche teilt seine Wahl vor der Kontolöschung mit oder nutzt den Export unmittelbar selbst. Trifft er keine Wahl, gilt die Löschung als gewählt. Mit der Kontolöschung löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Kunden-, Beschäftigten- und Dokumentdaten aus den aktiven Systemen. Die Löschung kann nicht rückgängig gemacht werden. Fristen und Ablauf des Anbieterwechsels regelt zusätzlich der Anhang B zu den AGB.
(2) Der Verantwortliche kann die verarbeiteten Daten während der Vertragslaufzeit über die in der Anwendung vorhandenen Exportfunktionen selbst herunterladen: als Gesamtpaket im ZIP-Format (alle Datensätze als JSON, alle Dateien mit Prüfsummen und Manifest), als reinen JSON-Export sowie als CSV-, PDF- und XML-Download. Zusätzlich kann er einen zeitlich begrenzten, widerrufbaren Zugang erzeugen, über den ein von ihm beauftragter Zielanbieter das Paket abholt, ohne Zugangsdaten zum Konto zu erhalten; Aufbau und Grenzen beschreibt die technische Beschreibung der Exportschnittstelle. Ein Export ist eine Kopie: Er beendet weder den Vertrag noch löst er eine Löschung aus. Auch eine Tarifkündigung löst keine Löschung aus, weil das Konto im Tarif „Kostenlos“ fortbesteht.
(3) Eigene steuer- oder handelsrechtliche Unterlagen der Rolsing & Kokorin GbR zum Vertrags- und Abrechnungsverhältnis sind keine Kundendokumente des Verantwortlichen. Soweit solche eigenen Nachweisdaten gesetzlich aufzubewahren sind, werden sie getrennt und zweckgebunden gespeichert. Gesetzliche Aufbewahrungspflichten des Verantwortlichen für seine eigenen Geschäftsunterlagen rechtfertigen keine weitere Speicherung dieser Inhalte durch den Auftragsverarbeiter.
(4) Soweit Infrastruktur-Unterauftragsverarbeiter nach einer Löschung noch technisch unvermeidbare, vorübergehende Kopien führen, bleiben diese bis zur Überschreibung nach deren vertraglich dokumentierten Löschzyklen gesperrt. Eine darüber hinausgehende Nutzung findet nicht statt.
§ 9 Haftung
Die Haftung der Parteien für Verstöße gegen diesen Auftragsverarbeitungsvertrag richtet sich nach den gesetzlichen Vorschriften, insbesondere Art. 82 DSGVO, sowie den Haftungsregelungen des Hauptvertrags (§ 9 AGB), soweit diese nicht gegen zwingendes Recht verstoßen.
§ 10 Schlussbestimmungen
(1) Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland. Zuständige Datenschutz-Aufsichtsbehörde für den Auftragsverarbeiter ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz.
(2) Soweit einzelne Bestimmungen dieses Vertrags unwirksam sind, berührt dies die Wirksamkeit des Vertrags im Übrigen nicht.
(3) Änderungen dieses Vertrags bedürfen der Textform. Rein redaktionelle oder für den Verantwortlichen ausschließlich vorteilhafte Änderungen können nach vorheriger Information wirksam werden. Materielle Änderungen bedürfen einer erneuten aktiven Einbeziehung. Für Änderungen der Unterauftragsverarbeiterliste gilt § 6 Abs. 2.
Anlagen
Die Anlagen sind Bestandteil dieses Vertrags. Jede Angabe steht genau einmal — die Anlage ist jeweils die maßgebliche Fassung.
§ A1 Anlage 1 — Gegenstand, Art und Zweck der Verarbeitung
Gegenstand, Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten und die Kategorien betroffener Personen ergeben sich abschließend aus § 1, § 2 und § 3 dieses Vertrags. Eine gesonderte Wiederholung unterbleibt bewusst, damit keine zwei Fassungen auseinanderlaufen können.
§ A2 Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Diese Anlage ist die maßgebliche Fassung der technischen und organisatorischen Maßnahmen für die Verarbeitung im Auftrag.
Vertraulichkeit
Mandantentrennung auf Datenbankebene durch Row Level Security auf den nutzerbezogenen Datentabellen
Speicherung von Zugangsdaten ausschließlich in gehashter Form
API-Schlüssel zu Drittanbietern ausschließlich serverseitig; clientseitig nicht einsehbar
Administrativer Zugriff auf Kunden- und Vertragsdaten auf die Gesellschafter beschränkt und durch eine zweite Stufe (E-Mail-Code) abgesichert
Dateien in nicht öffentlich zugänglichen Speicherbereichen; Abruf nur über kurzlebige signierte Links
Integrität
Serverseitige Validierung von Nutzereingaben vor der Verarbeitung
Token-basierte Bestätigung sicherheitsrelevanter Aktionen mit zeitlich begrenzter Gültigkeit und Schutz gegen Wiedereinspielung
Unterschriften mit SHA-256-Prüfsumme über den Dokumentinhalt und unveränderlicher inhaltlicher Momentaufnahme
Append-only-Protokolle für Team-, Abwesenheits- und Zeitkorrektur-Vorgänge sowie für die Einbeziehung der Rechtstexte
Verfügbarkeit und Belastbarkeit
Hosting über redundante Cloud-Infrastruktur
Schutz gegen Überlastung und Missbrauch durch Rate-Limiting; bei Ausfall des Zählspeichers Rückfall auf eine lokale Begrenzung statt auf einen offenen Zustand
Transportverschlüsselung auf allen Verbindungen
Verfahren zur regelmäßigen Überprüfung
Protokollierung administrativer Zugriffe auf Kunden- und Vertragsdaten
Fehler-Monitoring mit Filterung von Anfrageinhalten, Zugangscookie und definierten sensiblen Feldern; Sitzungsaufzeichnung deaktiviert
Automatisierte Tests der sicherheitsrelevanten Pfade vor jeder Veröffentlichung
Offener Punkt — Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO): Für die Produktionsdatenbank bestehen derzeit keine erprobten, wiederherstellbaren Sicherungen. Ein automatisierter, verschlüsselter Sicherungsablauf für Datenbank und Dateispeicher ist eingerichtet, aber noch nicht in Betrieb genommen; ein Tarifwechsel beim Datenbank-Dienstleister und ein dokumentierter Wiederherstellungstest stehen aus. Diese Anlage wird ergänzt, sobald ein erfolgreicher Lauf und ein durchgeführter Wiederherstellungstest dokumentiert sind — und nicht vorher. Der Verantwortliche wird hierüber bewusst offen informiert, damit er dies bei seiner eigenen Risikobewertung berücksichtigen kann.
§ A3 Anlage 3 — Genehmigte Unterauftragsverarbeiter
Maßgeblich ist die Tabelle in § 6 Abs. 1 dieses Vertrags. Änderungen richten sich nach § 6 Abs. 2 bis 2c.
§ A4 Anlage 4 — Übermittlungen in Drittländer
Die eingesetzten Transfermechanismen sind je Unterauftragsverarbeiter in der Spalte „Transfermechanismus“ der Tabelle in § 6 Abs. 1 angegeben. Verwendet werden die EU-Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 sowie, soweit der jeweilige Empfänger nachweislich zertifiziert ist, ergänzend der Angemessenheitsbeschluss zum EU-US Data Privacy Framework.
Der Angemessenheitsbeschluss zum EU-US Data Privacy Framework ist in Kraft; gegen das ihn bestätigende Urteil des Gerichts der Europäischen Union ist ein Rechtsmittel beim Gerichtshof anhängig. Die Übermittlungen sind deshalb durchgehend zusätzlich auf Standardvertragsklauseln gestützt und blieben auch bei einem Wegfall des Beschlusses abgesichert.
Anwendungsdaten werden in der Europäischen Union gespeichert (Irland). Übermittlungen in Drittländer erfolgen nur, soweit sie für den Betrieb erforderlich sind — insbesondere technische Verbindungsdaten beim Anwendungshosting, Fehlerprotokolle im Monitoring und Inhalte beim E-Mail-Versand.
Auftragsverarbeiter
Rolsing & Kokorin GbR · Lars Rolsing und Julian Kokorin (Gesellschafter) · Leanderweg 4, 56727 Mayen · USt-IdNr.: DE463642917 · E-Mail: datenschutz@kurzhand.de. Die vollständigen Anbieterangaben finden Sie im Impressum.