Auftragsverarbeitungsvertrag (AVV)

zwischen

dem Kunden (Vertragspartner des Hauptvertrags über die Nutzung der SaaS-Lösung „Zeitflex")

— nachfolgend „Verantwortlicher" —

und

[BITTE AUSFÜLLEN: Firmierung (z. B. Zeitflex GmbH)], [BITTE AUSFÜLLEN: Straße Hausnummer, PLZ Ort], vertreten durch [BITTE AUSFÜLLEN: Vertretungsberechtigte/r (Geschäftsführer/in)]

— nachfolgend „Auftragsverarbeiter" —

— gemeinsam die „Parteien".

Präambel

Der Auftragsverarbeiter stellt dem Verantwortlichen die SaaS-Lösung „Zeitflex" zur Zeiterfassung und vorbereitenden Lohnabrechnung bereit (nachfolgend „Hauptvertrag", bestehend aus AGB und Leistungsbeschreibung). Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen, insbesondere Daten der Beschäftigten des Verantwortlichen. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO. Er geht im Hinblick auf den Umgang mit personenbezogenen Daten den Regelungen des Hauptvertrags vor.

§ 1 Gegenstand und Dauer der Verarbeitung

1. Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der SaaS-Lösung „Zeitflex" einschließlich Web-App, Mobile-App, Datenspeicherung, Support und damit verbundener Nebenleistungen gemäß Hauptvertrag.
2. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Nach dessen Beendigung richtet sich die weitere Verarbeitung ausschließlich nach § 10 dieses Vertrags.

§ 2 Art und Zweck der Verarbeitung

1. Zweck: Elektronische Erfassung, Verwaltung und Auswertung von Arbeitszeiten der Beschäftigten des Verantwortlichen; Verwaltung von Abwesenheiten einschließlich Arbeitsunfähigkeitsnachweisen; Aufbereitung lohnrelevanter Bewegungsdaten zur Vorbereitung der Entgeltabrechnung durch den Verantwortlichen bzw. dessen Lohnabrechnungsstelle; Benutzer- und Rechteverwaltung; Support.
2. Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegung durch Übermittlung (Exportfunktionen an den Verantwortlichen bzw. von ihm benannte Stellen), Einschränken, Löschen und Vernichten, jeweils mittels automatisierter Verfahren.
3. Die Verarbeitung findet ausschließlich in Mitgliedstaaten der EU bzw. des EWR statt. Übermittlungen in Drittländer erfolgen nur über die in Anlage 2 genannten Unterauftragsverarbeiter unter den Voraussetzungen der Art. 44 ff. DSGVO (Angemessenheitsbeschluss, insbesondere EU-US Data Privacy Framework, oder EU-Standardvertragsklauseln nebst ggf. ergänzender Maßnahmen). [PRÜFEN: tatsächliche Verarbeitungsorte]

§ 3 Kategorien betroffener Personen und Datenkategorien

1. Betroffene Personen:
2. • Beschäftigte des Verantwortlichen (Arbeitnehmer, Auszubildende, ggf. Leiharbeitnehmer, Praktikanten, freie Mitarbeiter — je nach Nutzung durch den Verantwortlichen);
   • Administratoren und sonstige Nutzer des Verantwortlichen (z. B. Personalabteilung, Führungskräfte);
   • ggf. Ansprechpartner des Verantwortlichen.
3. Datenkategorien:
4. • Stammdaten (Name, Personalnummer, geschäftliche Kontaktdaten, Organisationszuordnung, Rolle);
   • Arbeitszeitdaten (Kommen/Gehen, Pausen, Salden, Projekt-/Kostenstellenzeiten, Korrekturen, Freigaben);
   • Standortdaten (einzelne GPS-Momentaufnahmen beim Stempelvorgang, nur bei entsprechender Aktivierung durch den Verantwortlichen; keine fortlaufende Ortung);
   • Abwesenheitsdaten (Urlaub, Krankheit, sonstige Abwesenheiten);
   • besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Gesundheitsdaten aus Arbeitsunfähigkeitsnachweisen (Tatsache und Dauer der Arbeitsunfähigkeit, hochgeladene AU-Dokumente);
   • lohnrelevante Bewegungsdaten (Stunden, Zuschläge, Fehlzeiten, variable Vergütungsbestandteile);
   • Nutzungs- und Protokolldaten (Logins, Audit-Logs, Geräteinformationen).
5. Der Verantwortliche stellt sicher, dass für die von ihm veranlassten Verarbeitungen — insbesondere für Standort-Momentaufnahmen und die Verarbeitung von Gesundheitsdaten — eine tragfähige Rechtsgrundlage besteht (z. B. § 26 BDSG, Art. 9 Abs. 2 lit. b DSGVO, ggf. Kollektivvereinbarung) und etwaige Beteiligungsrechte der Arbeitnehmervertretung gewahrt sind. [PRÜFEN]

§ 4 Weisungsrecht des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Der Hauptvertrag, dieser Vertrag sowie die Nutzung der in der Software vorgesehenen Konfigurations- und Exportfunktionen durch den Verantwortlichen gelten als Weisungen. Ergänzende Einzelweisungen bedürfen der Textform.
3. Weisungsberechtigte Personen des Verantwortlichen und weisungsempfangsberechtigte Personen des Auftragsverarbeiters werden bei Vertragsschluss benannt: [BITTE AUSFÜLLEN: weisungsberechtigte Personen beider Parteien]. Änderungen sind der jeweils anderen Partei in Textform mitzuteilen.
4. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO) und ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung der Weisung auszusetzen.
5. Mehraufwände durch Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, kann der Auftragsverarbeiter nach [PREISLISTE/AUFWAND — PRÜFEN] vergüten lassen.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit fort. Der Zugriff auf personenbezogene Daten des Verantwortlichen ist auf Personen beschränkt, die ihn zur Leistungserbringung benötigen (Need-to-know-Prinzip).

§ 6 Technische und organisatorische Maßnahmen (TOMs)

1. Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält diese während der Vertragslaufzeit aufrecht.
2. Die TOMs unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie weiterentwickeln, sofern das Schutzniveau insgesamt nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

§ 7 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zum Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter.
2. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern) mindestens [30 — PRÜFEN] Tage vor deren Wirksamwerden in Textform (z. B. E-Mail an den Kontoinhaber oder In-App-Benachrichtigung). Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von [14 — PRÜFEN] Tagen widersprechen. Im Fall des Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung; gelingt diese nicht, sind beide Parteien zur außerordentlichen Kündigung des Hauptvertrags mit angemessener Frist berechtigt. [PRÜFEN: Rechtsfolgenregelung]
3. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO), insbesondere hinreichende Garantien für geeignete TOMs. Bei Nichterfüllung durch den Unterauftragsverarbeiter haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für dessen Pflichterfüllung.
4. Bei Unterauftragsverarbeitern in Drittländern stellt der Auftragsverarbeiter geeignete Garantien nach Art. 44 ff. DSGVO sicher (siehe Anlage 2).

§ 8 Unterstützungspflichten des Auftragsverarbeiters

1. Betroffenenrechte (Art. 28 Abs. 3 lit. e DSGVO): Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO. Bei ihm unmittelbar eingehende Betroffenenanfragen leitet er unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht ohne dessen Weisung.

Konkret bereitgestellte Funktionen [ANGEGLICHEN 12.08.2026]:

• Art. 15 (Auskunft): Datenauskunft je Person als lesbares Dokument und strukturierte JSON-Datei, jeweils mit Zweck, Rechtsgrundlage und Speicherdauer je Datenkategorie sowie der Liste aller Zugriffe auf hochgeladene Gesundheitsdaten. Auslösbar durch den Verantwortlichen für jede Person und durch die betroffene Person selbst.
• Art. 16 (Berichtigung): Stammdatenpflege; Korrekturen an Zeiteinträgen erzeugen eine neue Version mit Begründung, die Vorversion bleibt als Nachweis erhalten.
• Art. 17 (Löschung): Löschung einzelner Dokumente, Anonymisierung ausgeschiedener Beschäftigter und zweistufige Löschung des gesamten Mandanten (§ 10).
• Art. 18 (Einschränkung): Sperrung des Zugangs; nach Ablauf der Löschfrist verbleiben aufbewahrungspflichtige Daten ausschließlich in einem gesperrten, nicht auswertbaren Zustand.
• Art. 20 (Übertragbarkeit): Vollexport des Mandanten als JSON.
• Nachweis (Art. 5 Abs. 2): Jeder automatische Lösch- und Anonymisierungsvorgang wird mit Datenart, Anzahl, Zeitpunkt und Rechtsgrundlage protokolliert; das Protokoll ist für den Verantwortlichen einsehbar und überdauert die Löschung des Mandanten.

1. Sicherheit, Meldepflichten, DSFA (Art. 28 Abs. 3 lit. f DSGVO): Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
2. Verletzungen des Schutzes personenbezogener Daten: Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die dessen Daten betrifft, unverzüglich, spätestens innerhalb von [24/48 — PRÜFEN] Stunden nach Kenntniserlangung, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen, soweit verfügbar; fehlende Informationen werden unverzüglich nachgereicht. Die Meldung an Aufsichtsbehörden und Betroffene obliegt dem Verantwortlichen.
3. Der Auftragsverarbeiter führt ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und benennt — soweit gesetzlich erforderlich — einen Datenschutzbeauftragten: [BITTE AUSFÜLLEN: Datenschutzbeauftragte/r (Name/Kontakt), sofern benannt].

§ 9 Kontrollrechte des Verantwortlichen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).
2. Der Nachweis kann insbesondere erbracht werden durch: aktuelle Testate oder Zertifizierungen (z. B. ISO 27001 [PRÜFEN: vorhandene Zertifizierungen]), Prüfberichte unabhängiger Dritter, Selbstauskünfte sowie die dokumentierten TOMs (Anlage 1).
3. Der Verantwortliche ist berechtigt, nach vorheriger Anmeldung mit angemessener Frist (in der Regel [14 — PRÜFEN] Tage) während der üblichen Geschäftszeiten Überprüfungen — auch durch beauftragte, zur Vertraulichkeit verpflichtete Prüfer, die keine Wettbewerber des Auftragsverarbeiters sind — durchzuführen oder durchführen zu lassen. Der Auftragsverarbeiter ermöglicht diese und trägt zu ihnen bei. Betriebsabläufe des Auftragsverarbeiters und Daten anderer Kunden dürfen nicht unangemessen beeinträchtigt werden.
4. Für Vor-Ort-Prüfungen ohne konkreten Anlass kann der Auftragsverarbeiter einen angemessenen Aufwandsersatz verlangen. [PRÜFEN: Zulässigkeit/Höhe] Bei konkreten Anhaltspunkten für Verstöße oder nach einer Datenschutzverletzung erfolgen Prüfungen unentgeltlich und auch kurzfristig.

§ 10 Löschung und Rückgabe der Daten

1. Nach Beendigung des Hauptvertrags bzw. nach einer Löschbestellung des Verantwortlichen stellt der Auftragsverarbeiter die gespeicherten personenbezogenen Daten für einen Zeitraum von 30 Tagen in einem gängigen, strukturierten, maschinenlesbaren Format (JSON; Dokumente als Originaldateien über die Anwendung) zum Export bereit. [ANGEGLICHEN 12.08.2026 — die Frist ist im Produkt umgesetzt: Mit der Löschbestellung wird der Zugang gesperrt, die Export- und Auskunftsfunktionen bleiben für diese 30 Tage ausdrücklich nutzbar, und die Löschung ist innerhalb der Frist widerrufbar.]
2. Nach Ablauf der Frist aus Absatz 1 löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten des Verantwortlichen einschließlich Kopien datenschutzgerecht, es sei denn, eine Aufbewahrungspflicht nach Unionsrecht oder mitgliedstaatlichem Recht steht der Löschung entgegen (Art. 28 Abs. 3 lit. g DSGVO).

Umsetzung im Produkt [ANGEGLICHEN 12.08.2026]: Gelöscht werden insbesondere hochgeladene Dokumente (einschließlich der Dateien im Objektspeicher), Dienstpläne, Projekte, Einladungen, API-Schlüssel, Webhook-Konfigurationen, Zuschlagsregeln und Betriebseinstellungen. Nicht gelöscht, sondern anonymisiert und gesperrt werden die Daten, für die eine gesetzliche Aufbewahrungspflicht besteht: Arbeitszeitaufzeichnungen und Abwesenheiten (2 Jahre, § 16 Abs. 2 ArbZG, § 17 Abs. 2 MiLoG), Lohnperioden und Lohnpositionen (6 Jahre, § 41 Abs. 1 Satz 9 EStG, § 257 Abs. 4 HGB) sowie das Änderungsprotokoll (3 Jahre). Bei der Anonymisierung werden Namen, E-Mail-Adressen, Personalnummern, Zugangsdaten, Standortdaten und Freitexte durch Platzhalter ersetzt bzw. entfernt; die Zeit- und Lohnwerte selbst bleiben unverändert, damit der gesetzliche Nachweis erhalten bleibt. Nach Ablauf auch dieser Fristen werden die Reste automatisch gelöscht.

Backups werden im Rahmen der regulären Backup-Rotation, spätestens nach [35 — PRÜFEN] Tagen, überschrieben; bis dahin sind sie gegen Zugriff geschützt und werden nicht wiederhergestellt, außer soweit technisch zur Wiederherstellung des Gesamtsystems zwingend erforderlich.

1. Die Löschung wird dem Verantwortlichen bestätigt. [ANGEGLICHEN 12.08.2026] Die Bestätigung erfolgt automatisch per E-Mail an die Inhaber des Mandanten und benennt, welche Daten aus welchem gesetzlichen Grund aufbewahrt wurden; zusätzlich steht sie als Protokolleintrag zum Nachweis bereit.
2. Die Einhaltung handels-, steuer- und arbeitsrechtlicher Aufbewahrungsfristen für exportierte Daten obliegt dem Verantwortlichen.

§ 11 Haftung, Schlussbestimmungen

1. Für die Haftung der Parteien gelten Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Hauptvertrags. [PRÜFEN: Zulässigkeit der Haftungsbeschränkung im Innenverhältnis]
2. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.
3. Es gilt deutsches Recht. Gerichtsstand ist [BITTE AUSFÜLLEN: Gerichtsstand (Ort)], soweit gesetzlich zulässig.
4. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit des Vertrags im Übrigen unberührt.
5. Im Konflikt zwischen diesem Vertrag und dem Hauptvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieses Vertrags vor.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

[PRÜFEN] Alle Angaben sind vor Verwendung mit dem tatsächlichen technischen Stand abzugleichen.

1. Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

• Transportverschlüsselung sämtlicher Verbindungen mittels TLS [1.2/1.3];
• Verschlüsselung gespeicherter Daten (at rest) auf Datenbank- und Objektspeicherebene [AES-256 — PRÜFEN];
• AU-Dokumente werden vom Anwendungsserver mit AES-256-GCM verschlüsselt, BEVOR sie an den Objektspeicher übergeben werden; der Objektspeicher-Anbieter sieht nur Zufallsbytes. Der Schlüssel liegt ausschließlich beim Auftragsverarbeiter. [ANGEGLICHEN 12.08.2026 — die Zusage „verschlüsselte Speicherung" war zuvor ohne Umsetzung, ADR-025];
• Dokumente werden getrennt von der Datenbank abgelegt; Datenbank-Backups enthalten keine Dokumenteninhalte [ANGEGLICHEN 12.08.2026];
• Annahme von Uploads nur nach Prüfung des Dateiinhalts (Signaturbytes), nicht nach der Typangabe des Endgeräts; Höchstgröße 10 MB; vom Endgerät gelieferte Dateinamen werden nie als Speicherpfad verwendet [ANGEGLICHEN 12.08.2026];
• Passwörter ausschließlich als salted Hash (z. B. bcrypt/argon2); Geheimnisse in einem Secret-Management-System.

2. Mandantentrennung

• Logische Trennung der Kundendaten durch mandantenbezogene Datenhaltung (Tenant-ID auf Datensatzebene, [PRÜFEN: zusätzlich Row-Level-Security/separate Schemata]);
• im Objektspeicher zusätzlich Trennung über mandantenbezogene Pfad-Präfixe; bei jedem Dokumentenabruf wird die Zugehörigkeit doppelt geprüft (Datensatz und Speicherpfad) [ANGEGLICHEN 12.08.2026];
• mandantenübergreifende Zugriffe sind technisch ausgeschlossen und werden durch automatisierte Tests abgesichert;
• Trennung von Produktions-, Staging- und Entwicklungsumgebungen; keine Produktivdaten in Entwicklungs-/Testsystemen.

3. Zugriffs- und Berechtigungskonzept (Zugangs-/Zugriffskontrolle)

• Rollenbasiertes Berechtigungskonzept (RBAC) auf Kundenseite. Für AU-Dokumente gilt abschließend [ANGEGLICHEN 12.08.2026 — vorher nur allgemein „berechtigte Rollen"]: Zugriff haben ausschließlich die betroffene Person selbst, die Inhaberin bzw. der Inhaber und Führungskräfte mit der Rolle „Manager". Der Steuerberater-Zugang und andere Beschäftigte haben KEINEN Zugriff — auch nicht auf die Information, dass ein Dokument existiert. Diese Matrix ist durch automatisierte Tests über alle Rollenkombinationen abgesichert;
• Need-to-know-Prinzip und Least-Privilege für Beschäftigte des Auftragsverarbeiters; administrative Zugriffe nur über personalisierte Konten mit Zwei-Faktor-Authentifizierung;
• geregelter Prozess für Einrichtung, Änderung und Entzug von Berechtigungen (Joiner/Mover/Leaver);
• Zwei-Faktor-Authentifizierung für Kundenkonten [verfügbar/erzwingbar — PRÜFEN].

4. Protokollierung (Audit-Logs)

• Protokollierung sicherheits- und datenschutzrelevanter Ereignisse (Logins, Berechtigungsänderungen, Änderungen an Zeiteinträgen mit Änderungshistorie, Exporte);
• Zugriffe auf AU-Dokumente werden ausnahmslos protokolliert — der erfolgreiche wie der abgewiesene Versuch, jeweils mit Person, Rolle, Zeitpunkt und IP-Adresse. Betroffene Personen können dieses Protokoll über die Auskunftsfunktion selbst einsehen [ANGEGLICHEN 12.08.2026];
• Schutz der Protokolle vor nachträglicher Veränderung; Aufbewahrung der Anwendungsprotokolle 3 Jahre (Art. 5 Abs. 2 DSGVO, § 195 BGB), Aufbewahrung der Server-Logs [14/30 — PRÜFEN] Tage;
• Auswertung nur anlassbezogen nach dokumentiertem Verfahren.

5. Verfügbarkeit und Belastbarkeit; Backup-Konzept

• Redundante Infrastruktur in EU-Rechenzentren [REGIONEN — PRÜFEN];
• automatisierte, verschlüsselte Backups mindestens täglich [PRÜFEN: Frequenz/Point-in-Time-Recovery]; Aufbewahrung der Backups für [35 — PRÜFEN] Tage;
• regelmäßige Wiederherstellungstests; dokumentiertes Notfall- und Wiederanlaufkonzept (RTO/RPO: [WERTE — PRÜFEN]);
• Monitoring und Alarmierung.

6. Weitere organisatorische Maßnahmen

• Verpflichtung aller Beschäftigten auf Vertraulichkeit und regelmäßige Datenschutzschulungen;
• dokumentierter Prozess für Sicherheitsvorfälle (Incident Response) einschließlich Meldewegen nach § 8 Abs. 3 AVV;
• Richtlinien für sichere Softwareentwicklung, Code-Reviews, Abhängigkeits- und Schwachstellenmanagement; [regelmäßige externe Penetrationstests — PRÜFEN];
• Datenschutz durch Technikgestaltung und Voreinstellungen (Art. 25 DSGVO): Standortfunktion standardmäßig deaktiviert, automatische Entfernung von Standort-Momentaufnahmen nach 6 Monaten, Datenminimierung bei Fehlerberichten, automatische Pseudonymisierung ausgeschiedener Beschäftigter 3 Monate nach Austritt [ANGEGLICHEN 12.08.2026];
• täglich laufender, protokollierter Löschprozess, der die Aufbewahrungsfristen technisch vollzieht, statt sie nur zu dokumentieren [ANGEGLICHEN 12.08.2026];
• Gerätesicherheit der Endgeräte des Auftragsverarbeiters (Festplattenverschlüsselung, Bildschirmsperre, MDM [PRÜFEN]).

Anlage 2 — Genehmigte Unterauftragsverarbeiter

[PRÜFEN] Liste vor Verwendung aktualisieren; Änderungen unterliegen der Informationspflicht nach § 7 Abs. 2 AVV. Aktuelle Fassung abrufbar unter: [BITTE AUSFÜLLEN: URL der aktuellen Subprozessor-Liste].

Unterschriften (sofern nicht elektronisch im Bestellprozess einbezogen — [PRÜFEN: Einbeziehungsmechanismus, Textform genügt gem. Art. 28 Abs. 9 DSGVO])