Anlage 1 - Vertrag zur Auftragsverarbeitung

Zwischen

dem Bestattungsunternehmen, welches das Abonnement der memilius Bestattungssoftware nutzt

(nachfolgend “Auftraggeber”)

und

memilius Bestattungssoftware

Inh.: Daniel Kruszynski

Kronprinzenstraße 42

40217 Düsseldorf

Deutschland

(nachfolgend “Auftragnehmer”)

über Auftragsverarbeitung i. S. d. Art. 28 Abs. 3 Datenschutz-Grundverordnung (DS-GVO).

Präambel

Diese Anlage konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz, die sich aus der im Vertrag zwischen dem Bestatter und der memilius Bestattungssoftwarein ihren Einzelheiten beschriebenen Auftragsverarbeitung ergeben (Auftragsverarbeitungsvertrag). Sie findet Anwendung auf Tätigkeiten, die mit dem Vertrag in Zusammenhang stehen und bei denen Beschäftigte des Auftragnehmers oder durch den Auftragnehmer Beauftragte personenbezogene Daten (»Daten«) im Auftrag des Auftraggebers verarbeiten.

§ 1 Gegenstand, Dauer und Spezifizierung der Auftragsverarbeitung

Aus der Anlage 1.1 und/oder dem Vertrag/einem Rahmenvertrag ergeben sich Gegenstand des Auftrags sowie Art und Zweck der Verarbeitung. Die Dauer richtet sich nach den Regelungen aus dem Hauptvertrag. Erläuterung zum Sonderkündigungsrecht: Der Auftraggeber kann den zugrundeliegenden Hauptvertrag und den AVV jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieses AVV vorliegt.

§ 2 Anwendungsbereich und Verantwortlichkeit

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Dies umfasst Tätigkeiten, die im Vertrag und in der Leistungsbeschreibung konkretisiert sind. Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich (»Verantwortlicher« im Sinne des Art. 4 Nr. 7 DS-GVO).

(2) Die Weisungen werden durch den Vertrag und die darin enthaltene Leistungsbeschreibung festgelegt und können vom Auftraggeber danach schriftlich oder in Textform (z. B. E-Mail) an die vom Auftragnehmer bezeichnete Stelle durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung). Weisungen, die im Vertrag nicht vorgesehen sind, werden als Antrag auf Leistungsänderung behandelt. Mündliche Weisungen sind unverzüglich schriftlich oder in Textform vom Auftraggeber zu bestätigen.

§ 3 Pflichten des Auftragnehmers

(1) Der Auftragnehmer darf personenbezogene Daten, die Gegenstand des Auftrags sind, nur im Rahmen des Auftrages und der Weisungen des Auftraggebers verarbeiten außer es liegt ein Ausnahmefall im Sinne des Artikel 28 Abs. 3 a) DS-GVO vor und dessen Voraussetzungen werden gewahrt.

(2) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen anwendbare Gesetze verstößt. Der Auftragnehmer darf die Umsetzung der Weisung solange aussetzen, bis sie vom Auftraggeber bestätigt oder abgeändert wurde.

(3) Der Auftragnehmer wird technische und organisatorische Maßnahmen zum angemessenen Schutz der Daten des Auftraggebers treffen, die den Anforderungen der Datenschutz-Grundverordnung (Art. 32 DS-GVO) genügen. Der Auftragnehmer hat insbesondere technische und organisatorische Maßnahmen zu treffen, gemessen am Risiko für die Rechte und Freiheiten der betroffenen Personen, die die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer gewährleisten.

Der Auftragnehmer hat die erforderlichen technischen und organisatorischen Maßnahmen vor Beginn der Verarbeitung zu dokumentieren und dem Auftraggeber zur Prüfung bereitzustellen. Die Einzelheiten dieser technischen und organisatorischen Maßnahmen ergeben sich aus Anlage 1.2.

Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Diese sind vom Auftragnehmer entsprechend zu dokumentieren. Dabei darf das Sicherheitsniveau der in Anlage 1.2 genannten Maßnahmen nicht unterschritten werden.

Der Auftragnehmer unterstützt den Auftraggeber angemessen bei der Erfüllung der Anfragen und Ansprüche betroffenen Personen gem. Kapitel III der DS-GVO sowie bei der Einhaltung der in Artt. 33 bis 36 DS-GVO genannten Pflichten.

(3a) Pseudonymisierung bei Nutzung externer KI-Dienste. Der Auftragnehmer übermittelt an externe KI-Dienste (LLMs) ausschließlich pseudonymisierte Inhalte i.S.d. Art. 4 Nr. 5 DSGVO und verarbeitet dabei nur erforderliche Daten (Art. 25 Abs. 2, Art. 32 DSGVO).

Die Pseudonymisierung erfolgt entweder (i) in Systemen des Auftragnehmers und/oder (ii) durch einen hierfür eingesetzten KI-Pseudonymisierungsdienst als Unterauftragsverarbeiter gemäß § 7. Soweit Variante (ii) eingesetzt wird, werden Rohdaten ausschließlich zum Zweck der Pseudonymisierung an diesen Dienst übermittelt. Der Dienst verarbeitet die Daten nur auf dokumentierte Weisung, nicht zu eigenen Zwecken (insb. kein Training), verarbeitet ausschließlich in der vereinbarten Region (EU/EWR, sofern nicht abweichend nach § 8), speichert sie nicht über die technische Sitzungsdauer hinaus und erhält keinen Zugriff auf Zuordnungstabellen (Mapping).

Die Zuordnungstabellen verbleiben ausschließlich beim Auftragnehmer, werden getrennt geführt und verschlüsselt gespeichert; Zugriff nur nach dem Need-to-know-Prinzip. Abweichungen von den vorstehenden Grundsätzen sind nur auf vorherige dokumentierte Weisung des Auftraggebers zulässig und werden protokolliert. Einzelheiten ergeben sich aus Anlage 1.2.

(5) Der Auftragnehmer gewährleistet, dass es den mit der Verarbeitung der Daten des Auftraggebers befassten Beschäftigten und anderen für den Auftragnehmer tätigen Personen untersagt ist, die Daten außerhalb der Weisung zu verarbeiten. Ferner gewährleistet der Auftragnehmer, dass sich die mit der Verarbeitung der personenbezogenen Daten zuständigen Personen zur Vertraulichkeit verpflichtet haben und diese Vertraulichkeitsverpflichtung auch nach Beendigung des Auftrags fortbesteht.

(6) Die vom Auftraggeber bereitgestellten Daten sind vom Auftragnehmer von allen übrigen Datenbeständen getrennt zu verarbeiten. Diese Trennung kann logisch erfolgen; eine räumlich-physische Separation der Speicher- oder Systemumgebungen ist hierfür nicht zwingend erforderlich.

(7) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, wenn ihm Verletzungen des Schutzes personenbezogener Daten des Auftraggebers bekannt werden. Eine Meldung von Datenschutzverletzungen muss mindestens enthalten:

• eine Beschreibung des Vorfalls, soweit möglich mit Angabe der Art der Verletzung des Schutzes personenbezogener Daten, Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze
• den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle für weitere Informationen
• eine Beschreibung der wahrscheinlichen Folgen des gemeldeten Vorfalls, eine Beschreibung der ergriffenen Maßnahmen zur Behebung und ggf. Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen

(8) Der Auftragnehmer nennt dem Auftraggeber den Ansprechpartner für im Rahmen des Vertrages anfallende Datenschutzfragen.

(9) Der Auftragnehmer gewährleistet, ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung einzusetzen (Art. 32 Abs. 1 lit. d DS-GVO

(10) Während der Vertragslaufzeit berichtigt oder löscht der Auftragnehmer auf Weisung des Auftraggebers die vertragsgegenständlichen Daten. Sofern eine datenschutzkonforme Löschung dieser Daten nicht möglich ist, stellt der Auftragnehmer eine datenschutzkonforme Vernichtung der Datenträger und Unterlagen, die vertragsgegenständliche Daten enthalten, sicher.

Dem Auftragsverarbeiter vom Auftraggeber übergebene Datenträger und verarbeitete Daten einschließlich gefertigter Kopien.

Der Auftragnehmer berichtigt oder löscht die vertragsgegenständlichen Daten, wenn der Auftraggeber dies anweist und dies vom Weisungsrahmen umfasst ist. Ist eine datenschutzkonforme Löschung oder eine entsprechende Einschränkung der Datenverarbeitung nicht möglich, übernimmt der Auftragnehmer die datenschutzkonforme Vernichtung von Datenträgern und sonstigen Materialien auf Grund einer Einzelbeauftragung durch den Auftraggeber oder gibt diese Daten träger an den Auftraggeber zurück, sofern nicht im Vertrag bereits vereinbart.

In besonderen, vom Auftraggeber zu bestimmenden Fällen, erfolgt eine Aufbewahrung bzw. Übergabe, Vergütung und Schutzmaßnahmen hierzu sind gesondert zu vereinbaren, sofern nicht im Vertrag bereits vereinbart.

(11) Daten, Datenträger sowie sämtliche Dokumente sind nach Auftragsende auf Verlangen (schriftlich oder in Textform) des Auftraggebers entweder herauszugeben, sofern sie im Eigentum des Auftraggebers sind, oder zu löschen.

§ 4 Pflichten des Auftraggebers

(1) Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er in den Auftragsergebnissen Fehler oder Unregelmäßigkeiten feststellt.

(2) Im Falle einer Inanspruchnahme des Auftragnehmers durch eine betroffene Person hinsichtlich etwaiger Schadensersatzansprüche nach Art. 82 DS-GVO, gilt §3 Abs. 4 entsprechend.

(3) Der Auftraggeber ist im Sinne des Art. 4 Nr. 7 DSGVO als Verantwortlicher für die im Auftrag durch den Auftragnehmer erfolgende Datenverarbeitung anzusehen. Dem Auftragnehmer steht gemäß Ziffer 4 Absatz 5 das Recht zu, den Auftraggeber darauf aufmerksam zu machen, wenn er der Auffassung ist, dass eine beauftragte oder angewiesene Datenverarbeitung rechtlich unzulässig ist.

(4) Im Falle des Bestehens einer Informationspflicht gegenüber Dritten nach Art. 33 oder 34 DSGVO oder einer sonstigen, den Auftraggeber treffenden gesetzlichen Meldepflicht, obliegt die Einhaltung dieser Pflichten ausschließlich dem Auftraggeber.

§ 5 Anfragen betroffener Personen

Wendet sich eine betroffene Person mit Anträgen gemäß Art. 15 bis 21 DS-GVO an den Auftragnehmer, wird der Auftragnehmer die betroffene Person unverzüglich an den Auftraggeber verweisen und leitet den Antrag an den Auftraggeber weiter. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung dieser Anträge der betroffenen Personen im erforderlichen Umfang.

§ 6 Nachweismöglichkeiten

(1) Der Auftragnehmer weist dem Auftraggeber die Einhaltung der in diesem Vertrag niedergelegten Pflichten mit geeigneten Mitteln nach. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die dokumentierten Kontrollen und erforderlichen Auskünfte zur Verfügung zu stellen. Insbesondere ist die Umsetzung der technischen und organisatorischen Maßnahmen gemäß Art 32 DS-GVO nachzuweisen.

(2) Der Nachweis der Einhaltung der in diesem Vertrag niedergelegten Pflichten kann erfolgen durch

• aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z. B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT- Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren)
• Selbstaudits
• eine geeignete Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z. B. nach BSI-Grundschutz, ISO 27001, ISO 27018, ISO 27701)
• die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DS-GVO
• die Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DS-GVO

(3) Kontrollrechte

1. Der Auftragnehmer verpflichtet sich, den Auftraggeber bei seinen Prüfungen gemäß Art. 28 Abs. 3 Satz 2 lit. h DS-GVO zur Einhaltung der Vorschriften zum Datenschutz sowie der vertraglichen Vereinbarungen im angemessenen und erforderlichen Umfang zu unterstützen.
2. Die Prüfungen werden durch den Auftraggeber selbst oder einen von ihm beauftragten Dritten durchgeführt. Sollte der durch den Auftraggeber beauftragte Dritter in einem Wettbewerbsverhältnis zu dem Auftragnehmer stehen, hat der Auftragnehmer gegen diesen ein Einspruchsrecht. Beauftragte Dritte müssen durch den Auftraggeber zur Verschwiegenheit verpflichtet werden. Dem Auftragnehmer steht das Recht zu, die Abgabe einer separaten Verschwiegenheitserklärung des beauftragten Dritten zu verlangen. Dies gilt insbesondere für die Abgabe von Erklärungen zur berufsrechtlichen oder gesetzlichen Verschwiegenheit.
3. Eine Prüfung kann insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie durch weitere Maßnahmen erfolgen. Zu den weiteren Maßnahmen zählen die Anforderung von Zertifizierungen, Berichte zu Datenschutzaudits und Inspektionen vor Ort. Inspektionen vor Ort nimmt der Auftraggeber mit angemessener Vorankündigung während der üblichen Geschäftszeiten vor. Die Prüfungen müssen ohne Störung des Betriebsablaufs sowie unter Wahrung der Sicherheits- und Vertraulichkeitsinteressen des Auftragnehmers durchgeführt und ist auf eine Prüfung pro Kalenderjahr beschränkt. Ausgenommen sind anlassbezogene Kontrollen. Jede Partei trägt die ihr entstandenen Kosten der Prüfungen in den vorgenannten Fällen (incl. Nachprüfungen) selbst.

§ 7 weitere Auftragsverarbeiter (Subunternehmer)

(1) Ein zustimmungspflichtiges Subunternehmerverhältnis liegt vor, wenn der Auftragnehmer weitere Auftragnehmer mit im Vertrag vereinbarten Verar- beitung personenbezogener Daten beauftragt. Der Auftragnehmer wird mit diesen Dritten im erforderlichen Umfang Vereinbarungen treffen, um ange- messene Datenschutz- und Informationssicherheitsmaßnahmen zu gewähr- leisten.

(2) Der Einsatz von Subunternehmern als weiteren Auftragsverarbeiter ist nur zulässig, wenn der Auftraggeber vorher zugestimmt hat.

(3) Beauftragung von Subauftragnehmer

(4) Erteilt der Auftragnehmer Aufträge an Subunternehmer, so obliegt es dem Auftragnehmer, seine datenschutzrechtlichen Pflichten aus diesem Vertrag dem Subunternehmer zu übertragen.

§ 8 Übermittlung in Drittstaaten

(1) Eine Übermittlung findet nur auf dokumentierte Weisung des Verantwortlichen in Drittstaaten außerhalb der EU und des EWR statt, sofern die Voraussetzungen nach Art. 44ff DS-GVO eingehalten werden.

(2) Die Vertragsparteien halten in diesem Vertrag fest, auf welche Art und Weise das angemessene Schutzniveau für die Verarbeitung im Drittstaat sichergestellt ist. Das angemessene Schutzniveau in Deutschland wird eingehalten durch entsprechend modulierte Standarddatenschutzklauseln ggf. inklusive zusätzlicher Schutzmaßnahmen (Art. 46 Abs. 2 litt. c und d DS-GVO)

(3) Ist hierzu nichts im Vertrag vereinbart, ist die Verarbeitung in einem Drittstaat nur mit vorheriger Zustimmung des Auftraggebers zulässig. Der Auftragnehmer teilt dem Auftraggeber vorab mit, um welche(n) Drittstaat(en) es sich handelt und auf welche Weise das angemessene Schutzniveau im Sinne von Art. 44 ff DS-GVO für die Verarbeitung dort sichergestellt ist.

(4) Der Auftragnehmer stellt einen Kontakt zur Verfügung, den der Auftraggeber Betroffenen als Stelle mitteilen kann, bei dem die Garantien verfügbar sind bzw. eine Kopie der Garantie angefordert werden kann.

§ 9 Haftung

Eine zwischen den Parteien im Leistungsvertrag (Hauptvertrag zur Leistungserbringung) vereinbarte Haftungsregelung gilt auch für die Auftragsverarbeitung.

§ 10 Informationspflichten, Schriftformklausel, Rechtswahl

(1) Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber als »Verantwortlicher« im Sinne der Datenschutz-Grundverordnung liegen.

(2) Änderungen und Ergänzungen dieser Anlage und aller ihrer Bestandteile – einschließlich etwaiger Zusicherungen des Auftragnehmers – bedürfen einer schriftlichen Vereinbarung, die auch in einem elektronischen Format (Textform) erfolgen kann, und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieser Bedingungen handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.

(3) Bei etwaigen Widersprüchen gehen Regelungen dieser Anlage zum Datenschutz den Regelungen des Vertrages vor. Sollten einzelne Teile dieser Anlage unwirksam sein, so berührt dies die Wirksamkeit der Anlage im Übrigen nicht.

(4) Es gilt deutsches Recht.

Anlage 1.1 - Gegenstand des Auftrags

1. Gegenstand und Zweck der Verarbeitung

Der Auftraggeber beauftragt den Auftragnehmer (Hersteller und Anbieter von Unternehmenssoftware zur Verwaltung aller Abläufe in Bestattungsbetrieben) mit folgenden Leistungen:

Der Auftragnehmer stellt dem Auftraggeber eine Software zur Verwaltung von Bestattungsbetrieben zur Verfügung. Diese Software ermöglicht die Organisation, Planung und Dokumentation von allen Abläufen eines Bestattungsbetriebes. Hierzu zählt die Terminplanung, Mitarbeitersteuerung, Beratung, Dokumentation von Daten zu Sterbefällen und Vorsorgeverträgen, das Hosting von Gedenkseiten und Kundenportalen, Abrechnung und Kommunikationstools. Außerdem nutzt der Auftragnehmer zur Erbringung der vertraglich geschuldeten KI-Assistenz-Funktion externe KI-Dienste ein. An diese werden personenbezogene Daten pseudonymisiert übermittelt (ausgenommen der Pseudonymisierungsdienst selbst). Sofern die Erfüllung dieses Zweckes eine Verarbeitung von personenbezogenen Daten erfordert, werden personenbezogene Daten von folgenden Personengruppen erhoben:

• Daten von Kunden & Interessenten z. B. Adressdaten, Vertragsdaten, Angebotsdaten
• Personaldaten zur Verwaltung von Mitarbeitern
• Daten von Lieferanten z. B. Adressdaten, Vertragsdaten, Funktionsdaten
• Daten von Geschäftspartnern z. B. Adressdaten, Vertragsdaten
• Daten von Kooperations- und Vertriebspartnern z. B. Adressdaten, Vertragsdaten

2. Arten der personenbezogenen Daten

Regelmäßig verarbeitete Datenarten sind Gegenstand der regelmäßigen Verarbeitung:

• Bestandsdaten z. B. Namen
• Inhaltsdaten z. B. Dokumente, Bilder, Texteingaben
• Kontaktdaten z. B. Telefonnummer
• Meta- / Kommunikationsdaten z. B. Geräteinformationen
• Nutzungsdaten z. B. Webseitenbesuche

3. Kategorien betroffener Personen

Von der Verarbeitung betroffene Personenkreise:

• Kunden bzw. deren Ansprechpartner
• Benutzer der Anwendung
• Sonstige Betroffene (z. B. Interessenten)
• Auftragsverarbeiter
• Kommunikationspartner
• Lieferanten bzw. deren Ansprechpartner

Anlage 1.2 - Technische und organisatorische Maßnahmen des Auftragnehmers

Zur Sicherstellung eines dem Risiko angemessenen Schutzniveaus gemäß Art. 32 DSGVO hat der Auftragnehmer die folgenden technischen und organisatorischen Maßnahmen implementiert.

1. Vertraulichkeit

Zutrittskontrolle

Der Zutritt zu den für die Auftragsdurchführung genutzten Räumlichkeiten des Auftragsverarbeiters ist ausschließlich autorisierten Personen vorbehalten. Zur Umsetzung dieser Zutrittskontrolle werden geeignete technische und organisatorische Maßnahmen getroffen, um sicherzustellen, dass nur befugte Personen Zugang zu den Büroräumlichkeiten am Unternehmensstandort erhalten.

Zugangskontrolle

Die im Rahmen der Auftragsverarbeitung eingesetzten informationsverarbeitenden Systeme (z. B. Client- und Serversysteme) sind durch angemessene Authentifizierungs- und Autorisierungssysteme gegen unbefugten Zugriff geschützt. Zur Gewährleistung des Schutzes vor unautorisierten Zugriffen werden geeignete technische und organisatorische Maßnahmen implementiert, die sicherstellen, dass ausschließlich berechtigten Personen der Zugang zu diesen Systemen ermöglicht wird.

Zugriffskontrolle

Sofern im Rahmen der Auftragsverarbeitung personenbezogene Daten auf informationsverarbeitenden Systemen des Auftragsverarbeiters gespeichert werden, ist ein abgestuftes, fein granular ausgestaltetes Berechtigungskonzept technisch umgesetzt. Dieses gewährleistet, dass Zugriffsrechte ausschließlich entsprechend dem Prinzip der Erforderlichkeit vergeben werden: Mitarbeiter des Auftragsverarbeiters erhalten nur in dem Umfang Zugriff auf personenbezogene Daten, wie es zur Erfüllung ihrer konkret zugewiesenen Aufgaben erforderlich ist. Die Vergabe administrativer Rechte ist auf das absolut notwendige Maß beschränkt und ausschließlich besonders autorisierten Personen vorbehalten. Zur Absicherung dieser Zugriffskontrollen werden geeignete technische und organisatorische Maßnahmen eingesetzt, um sicherzustellen, dass ausschließlich befugte Personen Zugriff auf personenbezogene Daten erhalten.

Trennungskontrolle

Es werden geeignete technische und organisatorische Maßnahmen implementiert, um sicherzustellen, dass personenbezogene Daten, die zu unterschiedlichen Zwecken erhoben wurden, voneinander getrennt verarbeitet werden. Dies geschieht insbesondere durch logische Trennung innerhalb der Systemarchitektur, sodass eine zweckgebundene Datenverarbeitung gemäß den Anforderungen des Art. 5 Abs. 1 lit. b DSGVO gewährleistet ist. Nachfolgende technische und organisatorische Maßnahmen werden ergriffen:

2. Integrität

Es werden technische und organisatorische Maßnahmen getroffen, um sicherzustellen, dass personenbezogene Daten bei der elektronischen Übertragung, während des Transports oder bei der Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Zudem ist sichergestellt, dass Übermittlungswege nachvollziehbar sind und überprüft werden kann, an welche Empfänger personenbezogene Daten übermittelt werden.

Folgende technische und organisatorische Maßnahmen werden ergriffen:

3. Verfügbarkeit und Belastbarkeit

Verfügbarkeitskontrolle

Maßnahmen, die sicherstellen, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. Folgende technische und organisatorische Maßnahmen werden ergriffen:

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

Die Wirksamkeit der aufgeführten technischen und organisatorischen Maßnahmen wird mindestens einmal jährlich durch die Geschäftsführung / des Inhabers in Abstimmung mit dem Datenschutzbeauftragten überprüft. Ergibt sich im Rahmen dieser Überprüfung, dass sich technologische Entwicklungen oder organisatorische Abläufe verändert haben und eine Anpassung der Maßnahmen erforderlich machen, werden diese unverzüglich unter Beachtung des Grundsatzes der Angemessenheit umgesetzt.

Zusätzlich erfolgen Anpassungen ad hoc, sofern sicherheitsrelevante Umstände eine sofortige Änderung erforderlich machen. Sämtliche Überprüfungen sowie daraus resultierende Maßnahmen und Änderungen werden nachvollziehbar dokumentiert und ordnungsgemäß archiviert.