Auftragsverarbeitungsvertrag

Diese Vertragsklauseln (die Klauseln) legen die Rechte und Pflichten des Verantwortlichen und des Auftragsverarbeiters bei der Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen fest.

Die Klauseln sind darauf ausgelegt, die Einhaltung von Art. 28 Abs. 3 der Verordnung 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) durch die Parteien sicherzustellen.

Im Rahmen der Bereitstellung des Data & More Compliance Server verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen in Übereinstimmung mit den Klauseln.

Die Klauseln haben Vorrang vor etwaigen gleichartigen Bestimmungen in anderen zwischen den Parteien geschlossenen Vereinbarungen.

Den Klauseln sind vier Anhänge beigefügt, die einen integralen Bestandteil der Klauseln bilden.

• Anhang A enthält Angaben zur Verarbeitung personenbezogener Daten, einschließlich Zweck und Art der Verarbeitung, Art der personenbezogenen Daten, Kategorien betroffener Personen und Dauer der Verarbeitung.
• Anhang B enthält die Bedingungen des Verantwortlichen für den Einsatz von Unterauftragsverarbeitern durch den Auftragsverarbeiter sowie eine Liste der vom Verantwortlichen genehmigten Unterauftragsverarbeiter.
• Anhang C enthält die Weisungen des Verantwortlichen hinsichtlich der Verarbeitung personenbezogener Daten, die vom Auftragsverarbeiter mindestens umzusetzenden Sicherheitsmaßnahmen sowie die Art und Weise, in der Prüfungen des Auftragsverarbeiters und etwaiger Unterauftragsverarbeiter durchzuführen sind.
• Anhang D enthält Bestimmungen für sonstige Tätigkeiten, die nicht von den Klauseln erfasst werden.

Die Klauseln samt Anhängen sind von beiden Parteien schriftlich, einschließlich elektronisch, aufzubewahren.

Die Klauseln entbinden den Auftragsverarbeiter nicht von Verpflichtungen, denen er nach der Datenschutz-Grundverordnung (DSGVO) oder anderen Rechtsvorschriften unterliegt.

Der Verantwortliche ist dafür verantwortlich, sicherzustellen, dass die Verarbeitung personenbezogener Daten in Übereinstimmung mit der DSGVO (siehe Art. 24 DSGVO), den geltenden Datenschutzvorschriften der EU oder der Mitgliedstaaten und den Klauseln erfolgt.

Der Verantwortliche hat das Recht und die Pflicht, über die Zwecke und Mittel der Verarbeitung personenbezogener Daten zu entscheiden.

Der Verantwortliche ist unter anderem dafür verantwortlich, sicherzustellen, dass für die Verarbeitung personenbezogener Daten, zu deren Durchführung der Auftragsverarbeiter angewiesen wird, eine Rechtsgrundlage besteht.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er hierzu nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, verpflichtet ist. Diese Weisungen sind in den Anhängen A und C festgelegt. Nachfolgende Weisungen können vom Verantwortlichen auch während der gesamten Dauer der Verarbeitung personenbezogener Daten erteilt werden, sind jedoch stets zu dokumentieren und im Zusammenhang mit den Klauseln schriftlich, einschließlich elektronisch, aufzubewahren.

Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass vom Verantwortlichen erteilte Weisungen gegen die DSGVO oder die geltenden Datenschutzvorschriften der EU oder der Mitgliedstaaten verstoßen.

Darüber hinaus unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Einhaltung seiner Pflichten gemäß Art. 32 DSGVO, indem er dem Verantwortlichen unter anderem Informationen über die vom Auftragsverarbeiter bereits gemäß Art. 32 DSGVO umgesetzten technischen und organisatorischen Maßnahmen sowie alle weiteren Informationen zur Verfügung stellt, die der Verantwortliche zur Erfüllung seiner Pflicht nach Art. 32 DSGVO benötigt.

Erfordert die Minderung der festgestellten Risiken nachträglich — nach Einschätzung des Verantwortlichen — weitere Maßnahmen des Auftragsverarbeiters als die bereits gemäß Art. 32 DSGVO umgesetzten, so legt der Verantwortliche diese zusätzlich umzusetzenden Maßnahmen in Anhang C fest.

Der Auftragsverarbeiter gewährt Zugang zu den im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten nur solchen ihm unterstellten Personen, die sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und nur soweit dies erforderlich ist (Need-to-know-Prinzip).

Die Liste der Personen, denen Zugang gewährt wurde, wird regelmäßig überprüft. Auf Grundlage dieser Überprüfung kann der Zugang zu personenbezogenen Daten entzogen werden, wenn er nicht mehr erforderlich ist; die personenbezogenen Daten sind diesen Personen anschließend nicht mehr zugänglich.

Der Auftragsverarbeiter weist auf Verlangen des Verantwortlichen nach, dass die betreffenden, ihm unterstellten Personen der vorgenannten Vertraulichkeit unterliegen.

Art. 32 DSGVO bestimmt, dass der Verantwortliche und der Auftragsverarbeiter unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Der Verantwortliche bewertet die mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen und setzt Maßnahmen zur Minderung dieser Risiken um. Je nach Relevanz können die Maßnahmen Folgendes umfassen:

• Pseudonymisierung und Verschlüsselung personenbezogener Daten;
• die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme und -dienste auf Dauer sicherzustellen;
• die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;
• ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.

Gemäß Art. 32 DSGVO bewertet auch der Auftragsverarbeiter — unabhängig vom Verantwortlichen — die mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen und setzt Maßnahmen zur Minderung dieser Risiken um. Zu diesem Zweck stellt der Verantwortliche dem Auftragsverarbeiter alle Informationen zur Verfügung, die zur Ermittlung und Bewertung dieser Risiken erforderlich sind.

Darüber hinaus unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Einhaltung seiner Pflichten gemäß Art. 32 DSGVO, indem er dem Verantwortlichen unter anderem Informationen über die vom Auftragsverarbeiter bereits gemäß Art. 32 DSGVO umgesetzten technischen und organisatorischen Maßnahmen sowie alle weiteren Informationen zur Verfügung stellt, die der Verantwortliche zur Erfüllung seiner Pflicht nach Art. 32 DSGVO benötigt.

Erfordert die Minderung der festgestellten Risiken nachträglich — nach Einschätzung des Verantwortlichen — weitere Maßnahmen des Auftragsverarbeiters als die bereits gemäß Art. 32 DSGVO umgesetzten, so legt der Verantwortliche diese zusätzlich umzusetzenden Maßnahmen in Anhang C fest.

Der Auftragsverarbeiter erfüllt die in Art. 28 Abs. 2 und Abs. 4 DSGVO festgelegten Anforderungen, um einen weiteren Auftragsverarbeiter (einen Unterauftragsverarbeiter) in Anspruch zu nehmen.

Der Auftragsverarbeiter nimmt daher ohne vorherige gesonderte schriftliche Genehmigung des Verantwortlichen keinen weiteren Auftragsverarbeiter (Unterauftragsverarbeiter) zur Erfüllung der Klauseln in Anspruch. Der Auftragsverarbeiter stellt den Antrag auf gesonderte Genehmigung mindestens 30 Tage vor der Inanspruchnahme des betreffenden Unterauftragsverarbeiters. Die Liste der bereits vom Verantwortlichen genehmigten Unterauftragsverarbeiter findet sich in Anhang B.

Nimmt der Auftragsverarbeiter einen Unterauftragsverarbeiter zur Durchführung bestimmter Verarbeitungstätigkeiten im Auftrag des Verantwortlichen in Anspruch, so werden diesem Unterauftragsverarbeiter im Wege eines Vertrags oder eines anderen Rechtsinstruments nach dem Recht der EU oder der Mitgliedstaaten dieselben Datenschutzpflichten auferlegt, die in den Klauseln festgelegt sind; insbesondere sind hinreichende Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen vorzusehen, sodass die Verarbeitung den Anforderungen der Klauseln und der DSGVO entspricht.

Der Auftragsverarbeiter ist daher dafür verantwortlich, vom Unterauftragsverarbeiter mindestens die Einhaltung der Pflichten zu verlangen, denen der Auftragsverarbeiter nach den Klauseln und der DSGVO unterliegt.

Eine Kopie eines solchen Unterauftragsverarbeitungsvertrags sowie nachfolgender Änderungen wird — auf Verlangen des Verantwortlichen — dem Verantwortlichen vorgelegt, damit dieser sich davon überzeugen kann, dass dem Unterauftragsverarbeiter dieselben Datenschutzpflichten wie in den Klauseln auferlegt wurden. Klauseln zu geschäftlichen Angelegenheiten, die den datenschutzrechtlichen Inhalt des Unterauftragsverarbeitungsvertrags nicht berühren, müssen dem Verantwortlichen nicht vorgelegt werden.

Der Auftragsverarbeiter vereinbart mit dem Unterauftragsverarbeiter eine Drittbegünstigtenklausel, wonach der Verantwortliche — für den Fall, dass der Auftragsverarbeiter faktisch verschwunden ist, rechtlich aufgehört hat zu existieren oder zahlungsunfähig geworden ist — das Recht hat, den Vertrag mit dem Unterauftragsverarbeiter zu kündigen und den Unterauftragsverarbeiter anzuweisen, die personenbezogenen Daten zu löschen oder zurückzugeben.

Erfüllt der Unterauftragsverarbeiter seine Datenschutzpflichten nicht, so haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen weiterhin in vollem Umfang für die Erfüllung der Pflichten des Unterauftragsverarbeiters. Dies berührt nicht die Rechte der betroffenen Personen nach der DSGVO — insbesondere die in Art. 79 und Art. 82 DSGVO vorgesehenen Rechte — gegenüber dem Verantwortlichen und dem Auftragsverarbeiter einschließlich des Unterauftragsverarbeiters.

Eine Übermittlung personenbezogener Daten in Drittländer oder an internationale Organisationen durch den Auftragsverarbeiter erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen und stets in Übereinstimmung mit Kapitel V DSGVO.

Sofern Übermittlungen in Drittländer oder an internationale Organisationen, zu deren Durchführung der Auftragsverarbeiter nicht vom Verantwortlichen angewiesen wurde, nach dem Recht der EU oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, erforderlich sind, teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern dieses Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Ohne dokumentierte Weisung des Verantwortlichen darf der Auftragsverarbeiter daher im Rahmen der Klauseln nicht:

• personenbezogene Daten an einen Verantwortlichen oder einen Auftragsverarbeiter in einem Drittland oder an eine internationale Organisation übermitteln;
• die Verarbeitung personenbezogener Daten an einen Unterauftragsverarbeiter in einem Drittland übertragen;
• die personenbezogenen Daten durch den Auftragsverarbeiter in einem Drittland verarbeiten lassen.

Die Weisungen des Verantwortlichen zur Übermittlung personenbezogener Daten in ein Drittland — einschließlich, sofern anwendbar, des Übermittlungsinstruments nach Kapitel V DSGVO, auf dem sie beruhen — sind in Anhang C.6 festgelegt.

Die Klauseln sind nicht mit Standarddatenschutzklauseln im Sinne von Art. 46 Abs. 2 Buchst. c und d DSGVO zu verwechseln; die Parteien können sich nicht auf die Klauseln als Übermittlungsinstrument nach Kapitel V DSGVO stützen.

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen, soweit möglich, durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung seiner Pflicht, Anträge auf Wahrnehmung der in Kapitel III DSGVO festgelegten Rechte der betroffenen Personen zu beantworten.

Dies bedeutet, dass der Auftragsverarbeiter den Verantwortlichen, soweit möglich, dabei unterstützt, der Wahrnehmung der folgenden Rechte betroffener Personen nachzukommen:

• das Recht auf Information bei Erhebung personenbezogener Daten bei der betroffenen Person;
• das Recht auf Information, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden;
• das Auskunftsrecht der betroffenen Person;
• das Recht auf Berichtigung;
• das Recht auf Löschung („Recht auf Vergessenwerden“);
• das Recht auf Einschränkung der Verarbeitung;
• die Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung;
• das Recht auf Datenübertragbarkeit;
• das Widerspruchsrecht;
• das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung, einschließlich Profiling, beruhenden Entscheidung unterworfen zu werden.

Zusätzlich zur Pflicht des Auftragsverarbeiters, den Verantwortlichen gemäß Klausel 8.1 zu unterstützen, unterstützt der Auftragsverarbeiter den Verantwortlichen ferner — unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen — bei der Einhaltung folgender Pflichten:

• die Pflicht des Verantwortlichen, die Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde unverzüglich und, sofern möglich, binnen 72 Stunden nach Bekanntwerden zu melden — in Dänemark der dänischen Datenschutzbehörde —, es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen;
• die Pflicht des Verantwortlichen, die betroffene Person unverzüglich über die Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Rechte und Freiheiten natürlicher Personen führt;
• die Pflicht des Verantwortlichen, eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durchzuführen (Datenschutz-Folgenabschätzung);
• die Pflicht des Verantwortlichen, vor der Verarbeitung die zuständige Aufsichtsbehörde zu konsultieren, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft.

Die Parteien legen in Anhang C die geeigneten technischen und organisatorischen Maßnahmen fest, mit denen der Auftragsverarbeiter den Verantwortlichen unterstützen muss, sowie den Umfang und das Ausmaß der erforderlichen Unterstützung. Dies gilt für die in den Klauseln 8.1 und 8.2 vorgesehenen Pflichten.

Im Falle einer Verletzung des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen die Verletzung unverzüglich nach deren Bekanntwerden.

Die Meldung des Auftragsverarbeiters an den Verantwortlichen erfolgt, sofern möglich, binnen 24 Stunden, nachdem der Auftragsverarbeiter von der Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, damit der Verantwortliche seine Pflicht zur Meldung der Verletzung an die zuständige Aufsichtsbehörde gemäß Art. 33 DSGVO erfüllen kann.

Gemäß Klausel 9 Abs. 2 unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Meldung der Verletzung des Schutzes personenbezogener Daten an die zuständige Aufsichtsbehörde; das bedeutet, dass der Auftragsverarbeiter bei der Beschaffung der nachstehend aufgeführten Informationen mitwirken muss, die gemäß Art. 33 Abs. 3 DSGVO in der Meldung des Verantwortlichen an die zuständige Aufsichtsbehörde anzugeben sind:

• die Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
• die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
• die vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, gegebenenfalls einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Die Parteien legen in Anhang C alle Elemente fest, die der Auftragsverarbeiter bereitstellen muss, wenn er den Verantwortlichen bei der Meldung einer Verletzung des Schutzes personenbezogener Daten an die zuständige Aufsichtsbehörde unterstützt.

Nach Beendigung der Erbringung der Verarbeitungsleistungen ist der Auftragsverarbeiter verpflichtet, alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten zu löschen und dem Verantwortlichen die Durchführung der Löschung zu bestätigen.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO und in den Klauseln festgelegten Pflichten erforderlich sind, und ermöglicht sowie unterstützt Prüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem anderen von ihm beauftragten Prüfer durchgeführt werden.

Die Verfahren für Prüfungen des Verantwortlichen, einschließlich Inspektionen, beim Auftragsverarbeiter und bei Unterauftragsverarbeitern sind in den Anhängen C.7 und C.8 festgelegt.

Der Auftragsverarbeiter ist verpflichtet, den Aufsichtsbehörden, die nach den geltenden Rechtsvorschriften Zugang zu den Räumlichkeiten des Verantwortlichen und des Auftragsverarbeiters haben, oder Vertretern, die im Namen dieser Aufsichtsbehörden handeln, gegen Vorlage eines geeigneten Identitätsnachweises und im Einklang mit dem Verfahrensrecht der Union oder der Mitgliedstaaten Zugang zu seinen physischen Räumlichkeiten zu gewähren.

Die Parteien können weitere Klauseln über die Erbringung der Verarbeitungsleistungen vereinbaren, in denen z. B. die Haftung geregelt wird, sofern diese nicht unmittelbar oder mittelbar den Klauseln widersprechen oder die Grundrechte und Grundfreiheiten der betroffenen Person und den durch die DSGVO gewährleisteten Schutz beeinträchtigen.

Die Klauseln treten mit dem Datum der Unterzeichnung durch beide Parteien in Kraft.

Beide Parteien sind berechtigt, eine Neuverhandlung der Klauseln zu verlangen, wenn Gesetzesänderungen oder die Unzweckmäßigkeit der Klauseln Anlass zu einer solchen Neuverhandlung geben.

Die Klauseln gelten für die Dauer der Erbringung der Verarbeitungsleistungen. Für die Dauer der Erbringung der Verarbeitungsleistungen können die Klauseln nicht gekündigt werden, es sei denn, die Parteien haben andere Klauseln über die Erbringung der Verarbeitungsleistungen vereinbart.

Wird die Erbringung der Verarbeitungsleistungen beendet und werden die personenbezogenen Daten gemäß Klausel 10.1 und Anhang C.4 gelöscht oder an den Verantwortlichen zurückgegeben, so können die Klauseln von jeder Partei schriftlich gekündigt werden.

Die Parteien können einander über die folgenden Kontakte/Kontaktstellen erreichen. Die Parteien sind verpflichtet, einander laufend über Änderungen der Kontakte/Kontaktstellen zu informieren.

A.1 Der Zweck der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen

Die Verarbeitung personenbezogener Daten erfolgt, um Daten zu bereinigen und einen visuellen Überblick über Daten zu gewinnen, die personenbezogene Informationen (PII) enthalten, die unnötig oder veraltet sind, mit dem Zweck, diese Daten zu löschen.

Der Auftragsverarbeiter erbringt Support, Wartung und Betreuung des Data & More Compliance Server, der sich in den Räumlichkeiten des Auftragsverarbeiters befindet.

Darüber hinaus erbringt der Auftragsverarbeiter Beratungsleistungen zur Unterstützung der Wartung und Betreuung des Data & More Compliance Server, der sich in den Räumlichkeiten des Auftragsverarbeiters oder des Verantwortlichen befindet.

A.2 Die Art der Verarbeitung

Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen betrifft hauptsächlich das Auffinden und Strukturieren verschiedener Kategorien sensibler personenbezogener Daten, die im Zusammenhang mit der Erbringung der Leistung erhoben werden. Ein solches Auffinden erfolgt nach den Weisungen des Verantwortlichen und betrifft überwiegend unstrukturierte Datensätze, einschließlich, aber nicht beschränkt auf E-Mail-Konten, Filesharing-Laufwerke oder gleichwertige Systeme.

Erbringt der Auftragsverarbeiter Beratungsleistungen, so umfasst die Verarbeitung personenbezogener Daten typischerweise begrenzte und spezifische Tätigkeiten, die zur Erfüllung der mit dem Verantwortlichen vereinbarten vertraglichen Pflichten erforderlich sind. Diese Tätigkeiten können umfassen:

• Support, Wartung und Betreuung des Data & More Compliance Server, der sich in den Räumlichkeiten des Auftragsverarbeiters befindet.
• Zugriff auf Daten, soweit erforderlich: Der Auftragsverarbeiter kann auf personenbezogene Daten zugreifen, um Probleme im Zusammenhang mit den gewarteten oder verbesserten Systemen oder Leistungen zu analysieren, zu diagnostizieren oder zu beheben, stets nach den Weisungen des Verantwortlichen.
• Erbringung technischen Supports: Beratungsleistungen können es erfordern, dass der Auftragsverarbeiter mit Systemen interagiert, die personenbezogene Daten speichern oder verarbeiten, um Hilfestellung zu leisten, Änderungen umzusetzen oder die Funktionsfähigkeit sicherzustellen. Diese Verarbeitung ist auf das für die Leistungserbringung unbedingt Erforderliche begrenzt.
• Einhaltung von Weisungen: Die Rolle des Auftragsverarbeiters besteht ausschließlich darin, auf dokumentierte Weisung des Verantwortlichen zu handeln. Der Auftragsverarbeiter entscheidet nicht über Zweck oder Mittel der Verarbeitung, sondern stellt sicher, dass die erbrachten Leistungen den Weisungen des Verantwortlichen und diesem Vertrag entsprechen.
• Umsetzung von Schutzmaßnahmen: Personenbezogene Daten, die im Rahmen von Beratungsleistungen verarbeitet werden, werden sicher verarbeitet, wobei Maßnahmen zum Schutz ihrer Vertraulichkeit, Integrität und Verfügbarkeit getroffen werden. Dies umfasst sichere Zugriffskontrollen, Verschlüsselung sowie weitere technische und organisatorische Maßnahmen, wie sie von der DSGVO und den Bestimmungen dieses Vertrags gefordert werden.
• Vorübergehende Datenverarbeitung: Die Verarbeitung kann vorübergehend oder beiläufig erfolgen, etwa bei der Fehlersuche oder bei Konfigurationsaufgaben. Der Auftragsverarbeiter stellt sicher, dass keine Daten über den Umfang der Leistung hinaus aufbewahrt werden, sofern dies nicht ausdrücklich mit dem Verantwortlichen vereinbart wurde.

Insgesamt umfassen die Beratungsleistungen des Auftragsverarbeiters ausschließlich unbedingt erforderliche und kontrollierte Verarbeitungen personenbezogener Daten zur Erfüllung der vom Verantwortlichen festgelegten Ziele, in vollem Einklang mit den Grundsätzen der DSGVO und den vertraglichen Vereinbarungen.

A.3 Arten personenbezogener Daten

Die Verarbeitung umfasst die folgenden Arten personenbezogener Daten über betroffene Personen:

• Name, Adresse, Geburtsdatum, E-Mail, Telefonnummer;
• Personenkennziffer (Sozialversicherungsnummer);
• Bankdaten (Kartendaten oder Kontoinformationen), Rechnungs- und Buchhaltungsunterlagen sowie Daten zu Gehalt und Zahlungen;
• Benutzername und Passwort für ein oder mehrere Systeme;
• IP-Adresse und Informationen über das Gerät des Nutzers;
• verschiedene personenbezogene Daten in den Systemen des Verantwortlichen, zu denen Zugang gewährt wird;
• verschiedene personenbezogene Daten, die vom Verantwortlichen oder von den Kunden des Verantwortlichen bereitgestellt oder erfasst werden, ohne dass die Organisation sie aktiv verarbeitet und identifiziert;
• verschiedene personenbezogene Daten, einschließlich sensibler personenbezogener Daten, die im Zusammenhang mit der Leistungserbringung erfasst werden und nicht genau bestimmt werden können.

A.4 Kategorien betroffener Personen

Die Verarbeitung umfasst die folgenden Kategorien betroffener Personen:

• Aktuelle Beschäftigte, ehemalige Beschäftigte sowie Bewerber oder potenzielle Personen für Rekrutierung und Einstellung;
• Kunden, die Verbraucher oder Einzelunternehmer sind;
• Beschäftigte und Partner von Kunden (wenn die Kunden Unternehmen sind);
• Kunden der Kunden und deren Beschäftigte (zum Beispiel bei CRM-Anbietern);
• Lieferanten, die natürliche Personen oder Einzelunternehmer sind, sowie Beschäftigte von Lieferanten (wenn die Lieferanten Unternehmen sind);
• verbundene Partner, die natürliche Personen oder Einzelunternehmen sind, sowie Beschäftigte verbundener Partner (wenn die verbundenen Partner Unternehmen sind);
• verschiedene Kategorien, die im Vorhinein nicht bestimmt werden können.

A.5 Dauer der Verarbeitung

Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen darf mit Inkrafttreten der Klauseln erfolgen. Die Verarbeitung personenbezogener Daten erfolgt, bis die Leistungen des Auftragsverarbeiters beendet sind; danach werden die personenbezogenen Daten gemäß Klausel 10.1 gelöscht. Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter erfolgt so lange, wie die zugrunde liegende(n) kommerzielle(n) Vereinbarung(en) bestehen.

B.1 Zugelassene Unterauftragsverarbeiter

Mit Inkrafttreten der Klauseln genehmigt der Verantwortliche die Inanspruchnahme der folgenden Unterauftragsverarbeiter:

Der Verantwortliche genehmigt mit Inkrafttreten der Klauseln den Einsatz der vorgenannten Unterauftragsverarbeiter für die für die jeweilige Partei beschriebene Verarbeitung. Der Auftragsverarbeiter ist nicht berechtigt — ohne ausdrückliche schriftliche Genehmigung des Verantwortlichen —, einen Unterauftragsverarbeiter für eine andere als die vereinbarte Verarbeitung in Anspruch zu nehmen oder die beschriebene Verarbeitung durch einen anderen Unterauftragsverarbeiter durchführen zu lassen.

C.1 Gegenstand der Verarbeitung / Weisung zur Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten als Berater im Auftrag des Verantwortlichen, um dem Verantwortlichen die Nutzung des IT-Systems, des Data & More Compliance Server, zu ermöglichen, das vom Auftragsverarbeiter verwaltet wird.

Nach diesem Auftragsverarbeitungsvertrag ist der Auftragsverarbeiter berechtigt, auf den Data & More Compliance Server zuzugreifen, um Wartungs-, Konfigurations- und Qualitätssicherungsaufgaben (QA) durchzuführen, die die Verarbeitung personenbezogener Daten von Beschäftigten, Kunden und Partnern des Verantwortlichen erfordern können, und zwar ausschließlich zum Zweck der Erfüllung dieser Aufgaben.

C.2 Sicherheit der Verarbeitung

Unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitungstätigkeit sowie des Risikos für die Rechte und Freiheiten natürlicher Personen muss der Auftragsverarbeiter ein angemessenes Sicherheitsniveau umsetzen. Der Auftragsverarbeiter ist danach berechtigt und verpflichtet, über die technischen und organisatorischen Sicherheitsmaßnahmen zu entscheiden, die anzuwenden sind, um das erforderliche (und vereinbarte) Datensicherheitsniveau herzustellen.

Das Sicherheitsniveau hat den großen Umfang der verarbeiteten personenbezogenen Daten sowie die hohe Vertraulichkeit der verarbeiteten Informationen zu berücksichtigen und erfordert daher ein hohes Sicherheitsniveau. Der Auftragsverarbeiter setzt — in jedem Fall und mindestens — die folgenden mit dem Verantwortlichen vereinbarten Maßnahmen um.

Organisatorische Sicherheit

• Alle Beschäftigten des Auftragsverarbeiters unterliegen Vertraulichkeitspflichten, die für jede Verarbeitung personenbezogener Daten gelten.
• Beschäftigte mit Zugang zu sensiblen personenbezogenen Daten oder kritischen IT-Systemen wurden vor ihrer Anstellung einer Sicherheitsüberprüfung unterzogen.
• Der Zugang der Beschäftigten zu personenbezogenen Daten ist begrenzt, sodass nur die jeweils relevanten Beschäftigten Zugang zu den erforderlichen personenbezogenen Daten haben.
• Die Verarbeitung personenbezogener Daten durch die Beschäftigten des Auftragsverarbeiters wird protokolliert und kann bei Bedarf überprüft werden.
• Der Auftragsverarbeiter verfügt über eine IT-Sicherheitsrichtlinie.
• Der Auftragsverarbeiter verfügt über dokumentierbare Prozessbeschreibungen für Verletzungen des Schutzes personenbezogener Daten, die mindestens jährlich überprüft werden.
• Der Auftragsverarbeiter hat Verfahren eingeführt, die eine ordnungsgemäße Löschung oder eine fortdauernde Vertraulichkeit sicherstellen, wenn Hardware instand gesetzt, gewartet oder entsorgt wird.
• Der Auftragsverarbeiter hat die Möglichkeit, auf Verstöße von Beschäftigten gegen die Datensicherheit des Auftragsverarbeiters oder gegen Weisungen zur Verarbeitung personenbezogener Daten arbeitsrechtlich zu reagieren.
• Die Beschäftigten des Auftragsverarbeiters dokumentieren und melden regelmäßig Verletzungen des Schutzes personenbezogener Daten oder entsprechende Risiken.

Physische Sicherheit

• Die Büroräume des Auftragsverarbeiters können abgeschlossen werden.
• Der Auftragsverarbeiter setzt Alarmanlagen ein, um Einbrüche zu erkennen und zu verhindern.
• Der Auftragsverarbeiter setzt Feuermelder und Rauchmelder ein, um Brände zu erkennen und zu verhindern.
• Der Auftragsverarbeiter hat den Notfall- und Evakuierungsplan für Notfälle getestet.
• Die Geräte des Auftragsverarbeiters (einschließlich PCs, Server usw.) sind hinter verschlossenen Türen gesichert.
• Das Personal und die Besucher des Auftragsverarbeiters werden mittels Ausweisen identifiziert; die Beschäftigten des Auftragsverarbeiters sind verpflichtet, Ausweise mitzuführen.
• Die Räumlichkeiten, Einrichtungen und Zugangswege des Auftragsverarbeiters werden video- oder bildüberwacht.
• Der Auftragsverarbeiter setzt ein Verifizierungsverfahren oder Verifizierungssystem zur Kontrolle der Identität von Besuchern ein; über Besucher wird ein Protokoll geführt.
• Der Auftragsverarbeiter setzt eine Schlüsselverwaltung ein, d. h. Schlüssel werden nur den relevanten und erforderlichen Beschäftigten ausgegeben.
• Der Empfang ist rund um die Uhr besetzt, oder außerhalb der Bürozeiten ist ein Sicherheitsdienst tätig.
• Die Gebäude des Auftragsverarbeiters sind in Zugangszonen unterteilt, für die Zugangskarten erforderlich sind.

Technische Sicherheit: Zugang zu und Schutz von IT-Systemen

• Der Auftragsverarbeiter setzt eine logische Zugangskontrolle mit Benutzername und Passwort oder einer anderen eindeutigen Berechtigung ein.
• Der Auftragsverarbeiter setzt Antivirenprogramme ein, die regelmäßig aktualisiert werden.
• Der Auftragsverarbeiter protokolliert und kontrolliert unbefugte oder wiederholte fehlgeschlagene Anmeldeversuche.
• Der Auftragsverarbeiter verpflichtet die Beschäftigten zur Verwendung individueller Passwörter und verfügt über Richtlinien zur Passwortzusammensetzung, einschließlich Mindestanforderungen.
• Die Computer des Auftragsverarbeiters verfügen über einen automatischen Zugriffsschutz bei Inaktivität, d. h. einen gesperrten Bildschirmschoner.
• Es bestehen Verfahren zum Entzug von Berechtigungen, wenn ein Beschäftigter das Unternehmen verlässt oder die Abteilung wechselt.
• Es bestehen Verfahren zur Erteilung von Berechtigungen für IT-Systeme bei der Einstellung neuer Beschäftigter.

Technische Sicherheit: Zugang zu personenbezogenen Daten

• Der Auftragsverarbeiter überprüft regelmäßig die Systemkontrollen.
• Der Auftragsverarbeiter erteilt einzelnen Personen oder Benutzergruppen Berechtigungen zum Zugriff auf, zur Änderung und zur Löschung von verarbeiteten personenbezogenen Daten.
• Der Auftragsverarbeiter verfügt über Verfahren zur Wiederherstellung von Daten aus Backups.
• Der Auftragsverarbeiter überprüft und verifiziert regelmäßig die Benutzerberechtigungen für bestimmte Systeme.
• Der Auftragsverarbeiter protokolliert und kontrolliert unbefugte oder wiederholte fehlgeschlagene Versuche, Daten zu löschen.
• Der Auftragsverarbeiter protokolliert und kontrolliert unbefugte oder wiederholte fehlgeschlagene Versuche, auf Daten zuzugreifen.
• Der Auftragsverarbeiter gewährleistet die Nachvollziehbarkeit von Zugriffen, Änderungen und Löschungen von Daten durch einzelne Benutzer.

Technische Sicherheit: Verschlüsselung

• Auf den Computern des Auftragsverarbeiters usw. gespeicherte Passwörter sind verschlüsselt.
• Inhalte auf externen Festplatten, USB-Sticks usw. sind verschlüsselt, wenn diese Medien personenbezogene oder sensible personenbezogene Daten enthalten.
• Das Netzwerk ist verschlüsselt.
• Die Computer des Auftragsverarbeiters verfügen über verschlüsselte Festplatten.
• Der Auftragsverarbeiter verschlüsselt personenbezogene Daten, einschließlich sensibler personenbezogener Daten, in Systemen und auf Geräten.
• Die Websites und Webformulare des Auftragsverarbeiters verwenden SSL-Zertifikate / HTTPS (Hypertext Transfer Protocol Secure).

Technische Sicherheit: Schutz personenbezogener Daten bei der Übertragung

• Der Auftragsverarbeiter verwendet sichere E-Mail und verfügt über entsprechende Richtlinien.
• Ausgehende E-Mails mit sensiblen personenbezogenen Daten oder Informationen über rein private Angelegenheiten werden verschlüsselt.
• Der Auftragsverarbeiter verfügt über Richtlinien zur Nutzung dienstlicher E-Mails, einschließlich privater Nutzung, angemessener Nutzung, Verschlüsselung und sicherer Nutzung.

Technische Sicherheit: Verfügbarkeit und Belastbarkeit

• Verfügbarkeit und Belastbarkeit der Systeme und Server des Auftragsverarbeiters werden durch einen Dritten sichergestellt, mit dem der Auftragsverarbeiter eine Vereinbarung geschlossen hat.
• Nur befugte Beschäftigte haben Zugang zu den eigenen Servern des Auftragsverarbeiters.
• Serverräume verfügen über Rauchmelder und Feuerlöscher, eine Klimaanlage sowie eine Überwachung von Temperatur und Luftfeuchtigkeit.
• Es bestehen Regeln und Richtlinien für die Datensicherung und für die Wiederherstellung von Daten aus Backups. Backups werden regelmäßig erstellt, entweder intern oder bei einem Lieferanten.
• Aktive Alarmierung bei unbefugten Versuchen, auf Serverräume und/oder Verarbeitungssysteme und Daten zuzugreifen.
• Es wird eine unterbrechungsfreie Stromversorgung (UPS) eingesetzt.
• Der Auftragsverarbeiter verfügt über Verfahrensbeschreibungen für Verletzungen des Schutzes personenbezogener Daten, die mindestens jährlich überprüft werden.

Weitere Einzelheiten sind in der Netzwerksicherheitsrichtlinie von Data & More festgelegt, die auf Anfrage erhältlich ist.

C.3 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit möglich und im Rahmen des nachstehend festgelegten Umfangs und Ausmaßes der Unterstützung, gemäß den Klauseln 8.1, 9.1 und 9.2 durch Umsetzung der folgenden technischen und organisatorischen Maßnahmen.

Erhält der Verantwortliche einen Antrag auf Wahrnehmung eines der Rechte betroffener Personen nach dem geltenden Datenschutzrecht und erfordert eine ordnungsgemäße Beantwortung des Antrags die Unterstützung des Auftragsverarbeiters, so unterstützt der Auftragsverarbeiter den Verantwortlichen mit den erforderlichen und relevanten Informationen und Unterlagen sowie mit geeigneten technischen und organisatorischen Sicherheitsmaßnahmen.

Benötigt der Verantwortliche die Unterstützung des Auftragsverarbeiters, um einen Antrag einer betroffenen Person zu beantworten, so muss der Verantwortliche ein schriftliches Unterstützungsersuchen an den Auftragsverarbeiter richten; der Auftragsverarbeiter stellt daraufhin die erforderliche Hilfe oder Dokumentation so bald wie möglich, spätestens jedoch 7 Kalendertage nach Erhalt des Ersuchens, bereit.

Erhält der Auftragsverarbeiter von anderen Personen als dem Verantwortlichen einen Antrag auf Wahrnehmung von Rechten nach dem geltenden Datenschutzrecht und betrifft der Antrag personenbezogene Daten, die im Auftrag des Verantwortlichen verarbeitet werden, so leitet der Auftragsverarbeiter den Antrag unverzüglich an den Verantwortlichen weiter.

C.4 Speicherdauer / Löschverfahren

Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter die personenbezogenen Daten gemäß Klausel 10.1, sofern der Verantwortliche seine ursprüngliche Wahl nicht — nach Unterzeichnung des Vertrags — geändert hat. Eine solche Änderung ist zu dokumentieren und im Zusammenhang mit den Klauseln schriftlich, einschließlich elektronisch, aufzubewahren.

C.5 Verarbeitungsort

Die Verarbeitung der personenbezogenen Daten nach den Klauseln darf ohne vorherige schriftliche Genehmigung des Verantwortlichen an keinen anderen Orten als in den eigenen Räumlichkeiten des Auftragsverarbeiters in Dänemark und an den in Anhang B aufgeführten Rechenzentrumsstandorten des genehmigten Unterauftragsverarbeiters erfolgen.

C.6 Weisung zur Übermittlung personenbezogener Daten in Drittländer

Personenbezogene Daten werden vom Auftragsverarbeiter ausschließlich an den in Klausel C.5 genannten Orten verarbeitet. Der Auftragsverarbeiter übermittelt keine personenbezogenen Daten in Drittländer oder an internationale Organisationen.

Erteilt der Verantwortliche in diesen Klauseln oder nachträglich keine dokumentierte Weisung zur Übermittlung personenbezogener Daten in ein Drittland, so ist der Auftragsverarbeiter nicht berechtigt, solche Übermittlungen im Rahmen dieser Klauseln durchzuführen.

Eine Übermittlung personenbezogener Daten darf in allen Fällen nur in Übereinstimmung mit diesen Klauseln, auf Weisung des Verantwortlichen und in dem nach geltendem Datenschutzrecht zulässigen Umfang erfolgen.

Übermittelt der Auftragsverarbeiter im Einklang mit diesen Klauseln personenbezogene Daten an Unterauftragsverarbeiter in Drittländern außerhalb der EU/des EWR, so muss der Auftragsverarbeiter eigenständig eine Rechtsgrundlage für die Übermittlung gemäß Kapitel V DSGVO sicherstellen.

C.7 Verfahren für Prüfungen des Auftragsverarbeiters durch den Verantwortlichen

Der Auftragsverarbeiter weist dem Verantwortlichen auf dessen schriftliches Verlangen nach, dass der Auftragsverarbeiter:

• seine Pflichten aus diesen Klauseln und der Weisung einhält; und
• die einschlägigen Artikel der DSGVO in Bezug auf die im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten einhält.

Die Dokumentation des Auftragsverarbeiters ist dem Verantwortlichen innerhalb einer angemessenen Frist nach Erhalt des Verlangens zu übermitteln.

Der Auftragsverarbeiter muss dem Verantwortlichen eine Dokumentation der laufenden Einhaltung der Bestimmungen zur Verfügung stellen. Diese Selbstprüfungsberichte müssen mindestens einmal jährlich erstellt werden und den Grundsätzen und Kontrollzielen des Prüfungsstandards ISAE 3000 folgen, wie sie im Common Strategic Framework (CSF) — dänische Wirtschaftsprüfer und dänische Datenschutzbehörde — festgelegt sind, sowie ISAE 3402 und/oder alternativ international anerkannten Standards wie ISO/IEC 27701:2019. Selbstprüfungsberichte können im Rahmen der Informationsbeschaffung des Verantwortlichen durchgeführt werden und müssen von der Geschäftsleitung des Auftragsverarbeiters unterzeichnet werden.

Um dem Bedürfnis des Verantwortlichen nach Einblick und Gewissheit über die sichere Verarbeitung der personenbezogenen Daten durch den Auftragsverarbeiter Rechnung zu tragen, muss der Auftragsverarbeiter seine Einhaltung der Klauseln alle 12 Monate, einschließlich der festgelegten umgesetzten Sicherheitsmaßnahmen, durch einen externen unabhängigen Dritten prüfen lassen und die vollständigen Unterlagen an den Verantwortlichen übermitteln.

Unabhängig vom Vorstehenden ermöglicht und unterstützt der Auftragsverarbeiter ferner Prüfungen und Inspektionen, die von durch den Verantwortlichen beauftragten Prüfern oder von den Behörden der zuständigen Rechtsordnung durchgeführt werden, soweit dies zur Überprüfung der Einhaltung dieser Klauseln und des geltenden Datenschutzrechts durch den Auftragsverarbeiter erforderlich ist. Der jeweilige Prüfer muss gesetzlich oder vertraglich zur Vertraulichkeit verpflichtet sein. Der Verantwortliche muss Prüfungen schriftlich mit einer Frist von 14 Kalendertagen ankündigen.

C.8 Verfahren für Prüfungen der von Unterauftragsverarbeitern durchgeführten Verarbeitung

Der Auftragsverarbeiter führt mindestens alle 12 Monate auf eigene Kosten eine Prüfung der Unterauftragsverarbeiter des Auftragsverarbeiters durch und übermittelt dem Verantwortlichen die Dokumentation dieser Prüfung. Die Parteien sind sich einig, dass hierfür ein ISAE 3000-Prüfungsbericht eines unabhängigen Prüfers verwendet werden kann.

Der Auftragsverarbeiter holt jährlich auf eigene Kosten einen Prüfungsbericht eines unabhängigen Dritten über die Einhaltung der DSGVO, der geltenden Datenschutzvorschriften der EU oder der Mitgliedstaaten und der Klauseln durch den Unterauftragsverarbeiter ein. Die Parteien haben vereinbart, dass die folgenden Arten von Prüfungsberichten im Einklang mit den Klauseln verwendet werden können:

• Hetzner TÜV-Prüfbericht;
• aktuelle ISO/IEC 27001-Zertifikate;
• Hetzner-Dokumentation zur Einhaltung der DSGVO nach Art. 28 und Art. 32.

Der Prüfungsbericht ist dem Verantwortlichen unverzüglich zur Information zu übermitteln. Der Verantwortliche kann den Umfang und/oder die Methodik des Berichts beanstanden und in solchen Fällen eine neue Prüfung oder Inspektion mit geändertem Umfang und/oder anderer Methodik verlangen. Auf Grundlage der Ergebnisse einer solchen Prüfung oder Inspektion kann der Verantwortliche weitere Maßnahmen verlangen, um die Einhaltung der DSGVO, der geltenden Datenschutzvorschriften der EU oder der Mitgliedstaaten und der Klauseln zu gewährleisten.

Der Auftragsverarbeiter oder sein Vertreter hat darüber hinaus das Recht, die Orte, an denen die Verarbeitung personenbezogener Daten durch den Unterauftragsverarbeiter erfolgt, zu inspizieren, einschließlich physischer Inspektionen, und zwar sowohl der physischen Einrichtungen als auch der für die Verarbeitung genutzten und mit ihr zusammenhängenden Systeme. Eine solche Inspektion erfolgt, wenn der Auftragsverarbeiter oder der Verantwortliche sie für erforderlich hält. Die Dokumentation solcher Inspektionen ist dem Verantwortlichen unverzüglich zur Information zu übermitteln.

Der Verantwortliche kann — sofern erforderlich — entscheiden, eine physische Inspektion des Unterauftragsverarbeiters einzuleiten und daran teilzunehmen. Dies kann gelten, wenn der Verantwortliche der Auffassung ist, dass die Überwachung des Unterauftragsverarbeiters durch den Auftragsverarbeiter keine ausreichende Dokumentation geliefert hat, um festzustellen, dass die Verarbeitung durch den Unterauftragsverarbeiter gemäß den Klauseln erfolgt. Die Teilnahme des Verantwortlichen an einer Inspektion des Unterauftragsverarbeiters ändert nichts daran, dass der Auftragsverarbeiter danach weiterhin die volle Verantwortung für die Einhaltung der DSGVO, der geltenden Datenschutzvorschriften der EU oder der Mitgliedstaaten und der Klauseln durch den Unterauftragsverarbeiter trägt.

Die Kosten des Auftragsverarbeiters und des Unterauftragsverarbeiters im Zusammenhang mit einer physischen Überwachung oder Inspektion in den Räumlichkeiten des Unterauftragsverarbeiters betreffen den Verantwortlichen nicht — unabhängig davon, ob der Verantwortliche eine solche Inspektion eingeleitet hat und daran teilgenommen hat.

Dieser Auftragsverarbeitungsvertrag regelt keine sonstigen Angelegenheiten.