Nachfolgend aufgeführte technisch-organisatorische Maßnahmen zur Sicherstellung von Datenschutz und Datensicherheit sind derzeit beim Auftragnehmer und/oder seinen Unterauftragnehmern vorhanden:

Technische und organisatorische Maßnahmen (TOM)

Die vorliegende Dokumentation beschreibt die vom Verantwortlichen umgesetzten technischen und organisatorischen Maßnahmen (TOM) gemäß Artikel 32 DSGVO sowie – soweit einschlägig – ergänzend nach dem Bundesdatenschutzgesetz (BDSG). Ziel ist ein dem Risiko für die Rechte und Freiheiten natürlicher Personen angemessenes Schutzniveau bei der Verarbeitung personenbezogener Daten.

Die Maßnahmen werden unter Berücksichtigung des Stands der Technik, der Kosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere möglicher Risiken ausgewählt und umgesetzt.

Dieses Dokument dient als Nachweis gegenüber Aufsichtsbehörden (§ 5 Abs. 2 DSGVO) und als internes Instrument zur regelmäßigen Überprüfung, Bewertung und Verbesserung der Datenschutzmaßnahmen. Ist es Bestandteil eines Auftragsverarbeitungsvertrages (AVV), gilt es als Anlage „Technische und organisatorische Maßnahmen“ und beschreibt die zum Vertragsabschluss vereinbarten Maßnahmen. Der Anwendungsbereich umfasst alle Verarbeitungsvorgänge personenbezogener Daten im Unternehmen.

Verantwortlicher

Als Verantwortlicher gilt diejenige Stelle, die über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Nachfolgend sind die Kontaktdaten des Verantwortlichen gemäß Art. 4 Nr. 7 DSGVO aufgeführt:

QLero GmbH

Südliche Münchner Str. 62

82031 Grünwald

Deutschland

E-Mail: briefkasten@qlero.de

Gesetzlicher Vertreter: Martin Peter Ulbricht und Moritz von Keiser

Zuständige Datenschutzaufsichtsbehörde

Die nachfolgend genannte Datenschutzaufsichtsbehörde ist für den Verantwortlichen gemäß Art. 55 DSGVO zuständig:

Bayerisches Landesamt für Datenschutzaufsicht, Promenade 18 , 91522 Ansbach,

Telefon: +49 981 180093-0, E-Mail: poststelle@lda.bayern.de

Homepage: https://www.lda.bayern.de

Externer Datenschutzbeauftragter

Der Verantwortliche hat einen externen Datenschutzbeauftragten bestellt, der gemäß Art. 37 DSGVO wie folgt erreichbar ist:

Datendo GmbH, Hohenzollernring 55, 50672 Köln, Tel. 0800 5577733,

E-Mail: datenschutz-554@anfragen.datendo.de , Internet: www.datendo.de

Gültigkeit der TOM

Die technischen und organisatorischen Maßnahmen geben den Stand vom 18.06.2026 wieder und sind in dieser Dokumentation bis einschließlich 22.11.2026 gültig. Mit Ablauf der laufenden Gültigkeitsperiode findet eine Überprüfung und gegebenenfalls eine Aktualisierung der derzeit umgesetzten und dokumentierten Maßnahmen statt.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

Maßnahmen, die gewährleisten, dass Unbefugten der Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, verwehrt wird.

Umgesetzte technische Maßnahmen:

• Abschließbare Türen: Türen können gezielt verschlossen werden, um unbefugten Zutritt zu verhindern. Sicherheitsschlösser: hochwertige, gegen Manipulation gesicherte Schlösser für kritische Türen.
• Türen mit Knauf an der Außenseite: verhindert das einfache Öffnen von außen, wenn kein Schlüssel vorhanden ist.
• Selbstschließende Türen mit automatischer Verriegelung: Türen fallen nach jedem Öffnungsvorgang selbstständig ins Schloss, verriegeln sich automatisch und können nicht unbeabsichtigt offenstehen.
• Elektrische Türöffner: fernsteuerbare Türöffnung für autorisierte Personen, z.B. durch Knopfdruck an der Zentrale.
• Code-, Transponder- oder Chipkarten für den Zutritt: elektronische Zutrittskontrolle von Ein- und Austritten.
• Zutritt per Klingel: Zutritt nur nach manueller Freigabe durch berechtigte Personen.
• Zutritt per Klingel mit Kameraanlage: Zutritt nur nach Sichtprüfung und manueller Freigabe durch berechtigte Personen.
• Datenschutzkonforme Videoüberwachung der Eingänge: Überwachung des innen liegenden Eingangsbereich unter Beachtung der Datenschutzbestimmungen.
• Verwendung einer Alarmanlage: erkennt unbefugte Zutrittsversuche und löst akustische oder stille Alarme aus.
• Smart Locks mit App-Steuerung: elektronische Türschlösser, die per Smartphone-App gesteuert und zeitlich begrenzt freigegeben werden können.
• Beleuchtungskonzepte zur Sicherheit: gut ausgeleuchtete Eingangsbereiche zur besseren Kontrolle.

Umgesetzte organisatorische Maßnahmen:

• Erstellung eines Zutrittskontrollkonzepts: Dokumentation aller Maßnahmen zur Zutrittskontrolle als Teil des Sicherheitskonzepts.
• Erstellung und Pflege eines Zutrittsberechtigungskonzepts: Dokumentation, wer wann und wo Zutritt erhält.
• Vergabe von Zutrittsrechten nach dem „Need-to-Know“-Prinzip: nur Personen, die es für ihre Arbeit benötigen, erhalten Zutritt.
• Rückgabe von Zutrittsmedien nach Austritt oder Funktionswechsel: Karten, Schlüssel oder Codes müssen beim Austritt aus dem Unternehmen zurückgegeben werden.
• Verwendung einer Schlüsselliste: Dokumentation aller ausgegebenen Schlüssel mit regelmäßiger Kontrolle.
• Notfallpläne für verlorene Schlüssel oder Zutrittsmedien: definierte Prozesse bei Verlust von Zutrittsmedien, inklusive sofortiger Sperrung.
• Vertragliche Regelungen zur Zutrittskontrolle für externe Dienstleister: Festlegung klarer Zutrittsregeln für externe Firmen.
• Awareness-Schulungen für Mitarbeitende zur physischen Sicherheit: Thematisierung von Risiken wie Tailgating, Besucherumgang, Umgang mit Fremden.
• Dienstanweisung zum Verschließen der Räume: alle Mitarbeitenden müssen sicherstellen, dass Räume nach Verlassen verschlossen sind.
• Regelmäßige Sicherheitsbegehungen: Kontrolle, ob physische Maßnahmen tatsächlich eingehalten werden.
• Audits der Zutrittsprotokolle: stichprobenweise Kontrolle der Protokolle auf Unregelmäßigkeiten. Sichere Aufbewahrung von Ersatzschlüsseln: Verwahrung in abgeschlossenen, dokumentierten Schlüsseltresoren mit Zugriffskontrolle.
• Besucherprotokollierung durch Empfangspersonal: Erfassung der Besuchsdaten, inklusive Zweck des Besuchs.
• Besucher können das Gebäude nur betreten, wenn sie von einem der Beschäftigten in Empfang genommen und begleitet werden: keine unbegleiteten Besucher.

1.2 Zugangskontrolle

Maßnahmen, die verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können.

Umgesetzte technische Maßnahmen:

• Zugang nur mit Benutzerkonto und Passwort: jede Person benötigt ein individuelles Benutzerkonto mit sicherem Passwort.
• Logins erfolgen mit Benutzername/Passwort: Authentifizierung erfolgt über individuelle Benutzeranmeldungen.
• Mehrstufige Authentifizierung (MFA): Zugang nur nach zusätzlicher Bestätigung, z.B. durch SMS-Code oder Authenticator-App.
• Biometrische Zugangskontrolle: Fingerabdruck-, Gesichts- oder Iriserkennung für sichere Authentifizierung an Endgeräten.
• Logins erfolgen mit biometrischen Daten: Fingerabdruck-, Gesichts- oder Iriserkennung als alternative Zugangsmethode.
• Automatische Zugangssperren nach Inaktivität: Systeme sperren sich automatisch nach einer bestimmten Zeit ohne Aktivität.
• Automatische Desktopsperre bei Inaktivität: der Bildschirm wird automatisch gesperrt, wenn keine Aktivität erfolgt.
• Protokollierung von Zugangsaktivitäten: alle Zugriffe auf Systeme werden dokumentiert, um eine Nachvollziehbarkeit zu gewährleisten.
• Firewall und Netzwerkzugangskontrolle: Wir nutzen Cloud-Dienste, die entsprechend abgesichert sind
• Eine aktuelle Firewall findet Verwendung: es wird sichergestellt, dass eine aktuelle Firewall zum Schutz der Systeme im Einsatz ist.
• Ein aktueller Spamfilter findet Verwendung: Schutz vor unerwünschten E-Mails und Phishing- Angriffen.
• Es werden aktuelle Softwareversionen verwendet: regelmäßige Updates zur Sicherheit und Stabilität der Systeme.
• Datenverschlüsselung bei Zugriff auf sensible Informationen: Firmen-MacBooks sind mit aktiviertem FileVault konfiguriert.
• Verschlüsselte Datenübertragung (HTTPS/TLS): Schutz sensibler Daten bei der Übertragung über das Netzwerk.
• Der Zugriff auf Endgeräte ist verschlüsselt: Geräte werden durch Passwort, Fingerabdruck oder Gesichtserkennung geschützt.
• Session-Timelimits für administrative Zugänge: automatische Beendigung von Admin-Sitzungen nach einer definierten Inaktivitätszeit.
• Analoge Daten werden in einem abgeschlossenen Schrank oder Tresor gesichert: physische Dokumente mit sensiblen Informationen werden sicher aufbewahrt.

Umgesetzte organisatorische Maßnahmen:

• Vergabe von Zugriffsrechten nach dem Need-to-Know-Prinzip: nur berechtigte Personen erhalten Zugang zu relevanten Informationen und Systemen.
• Benutzerprofile für Systeme und Programme kommen zum Einsatz: Für alle Mitarbeitenden jeweils individuelle Nutzerkonten
• Verfahren zur Vergabe von Lese- und Schreibrechten: Benutzerverwaltung regelt differenzierte Zugriffsrechte.
• Strikte Trennung von administrativen und regulären Nutzerkonten: diese sind teilweise möglich die Administratoren separate Konten für tägliche und administrative Tätigkeiten.
• Regelmäßige Überprüfung der Zugangsberechtigungen: Zugangsrechte werden regelmäßig kontrolliert und angepasst.
• Rückgabe und Deaktivierung von Zugangsmedien nach Austritt: sofortige Sperrung von Benutzerkonten und Zugangskarten nach Verlassen der Organisation.
• Einführung eines rollenbasierten Berechtigungskonzepts (RBAC): Zugriffsrechte werden systematisch über Rollen definiert.
• Regelmäßige Re-Zertifizierung von Zugriffsrechten durch Fachverantwortliche: Fachabteilungen müssen regelmäßig prüfen und bestätigen, dass eingeräumte Rechte noch notwendig sind.
• Notfallpläne für kompromittierte Zugangsdaten: definierte Prozesse für den Umgang mit verlorenen oder gestohlenen Zugangsdaten.
• Vertragliche Regelungen für externe Dienstleister: klare Sicherheitsanforderungen für Dienstleister mit Zugang zu internen Systemen.
• Schulung der Mitarbeiter zur sicheren Nutzung von Zugangsdaten: Sensibilisierung für Passwortrichtlinien und sichere Authentifizierungsverfahren.
• Richtlinie zum verpflichtenden Einsatz einer Bildschirmsperre: Mitarbeiter müssen eine Bildschirmsperre bei Verlassen des Arbeitsplatzes nutzen.
• Clean-Desk Vorgabe: Arbeitsplätze müssen frei von sensiblen Dokumenten gehalten werden.
• Monitore sind stets sichtgeschützt aufgestellt: verhindert unbefugtes Mitlesen durch Dritte.
• Richtlinie zum Datenschutz im Homeoffice/Mobile Office: Regelungen für sicheres Arbeiten außerhalb der Betriebsstätte.
• Richtlinie zum Datenschutz: klare Regelungen zur Einhaltung des Datenschutzes für Mitarbeitende.
• Richtlinie zum Einsatz externer Speichermedien: Vorgaben zur Nutzung externer Speichermedien (z.B. USB-Sticks) im Unternehmen.
• Besondere Überwachung von Zugriffsversuchen auf kritische Systeme: ungewöhnliche oder verdächtige Zugriffe werden protokolliert und überprüft.
• Verfahren zur Eskalation bei unbefugtem Zugriffsversuch: definierter Prozess bei erkannten oder vermuteten unbefugten Zugriffen.
• Abläufe für temporäre Benutzerkonten (z.B. für Praktikanten, Auditoren): zeitlich begrenzte Zugänge mit Ablaufdatum und eingeschränkten Rechten.

1.3 Zugriffskontrolle

Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und die gewährleisten, dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.

Umgesetzte technische Maßnahmen:

• Vergabe von Benutzerrollen und Berechtigungen: Zugriffsrechte werden anhand definierter Benutzerrollen vergeben.
• Zugriff nach dem „Need-to-Know“-Prinzip: Mitarbeiter erhalten nur Zugriff auf Systeme und Daten, die für ihre Arbeit notwendig sind.
• Mehrstufige Authentifizierung (MFA): Zusätzliche Sicherheitsstufe für den Zugriff auf kritische Systeme.
• Passwortschutz für administrative Funktionen: Administrationsrechte erfordern gesonderte Authentifizierung.
• Automatische Sitzungsablaufzeiten: Automatische Abmeldung von inaktiven Sitzungen zur Sicherheitserhöhung.
• Protokollierung und Monitoring von Zugriffsversuchen: Protokollierung und Monitoring von Zugriffsversuchen haben wir nicht bei allen Systemen. Bei kritischen Cloud-Diensten ist dies jedoch implementiert.
• Temporäre Zugangsberechtigungen für bestimmte Aufgaben: Zeitlich begrenzte Zugangsrechte für bestimmte Tätigkeiten werden händisch sichergestellt
• Single Sign-On (SSO) für autorisierte Systeme: Vereinfachter Zugang für Benutzer mit zentraler Authentifizierung.
• Restriktive Firewall-Regeln für Systemzugriffe: Netzwerkzugriffe werden durch Firewalls auf autorisierte Systeme beschränkt.
• Verschlüsselte Datenübertragung und Zugriffsschutz (TLS/SSL): Schutz der übertragenen Daten durch moderne Verschlüsselungstechnologien.
• Zugangskontrolle über biometrische Merkmale: Fingerabdruck- oder Gesichtserkennung für hochsensible Bereiche.
• Datenträger werden verschlüsselt: Sensible Daten auf externen und internen Speichern sind verschlüsselt.
• Nicht mehr benötigte Datenträger werden physisch gelöscht: Datenvernichtung durch zertifizierte Methoden wie Schreddern oder Entmagnetisieren.
• Sicherungsdatenträger werden außerhalb des Unternehmens aufbewahrt: Backups werden an einem externen, sicheren Standort gelagert.
• Datenträger werden sicher aufbewahrt (z. B. verschließbare Schränke): Physische Speichermedien werden gegen unbefugten Zugriff gesichert.

Umgesetzte organisatorische Maßnahmen:

• Regelmäßige Überprüfung der Berechtigungen: Berechtigungen werden regelmäßig kontrolliert und bei Bedarf angepasst.
• Dokumentation von Berechtigungsvergabe und -änderungen: Alle Änderungen an Benutzerrechten werden nachvollziehbar dokumentiert.
• Rollenbasiertes Berechtigungsmanagement: Mitarbeiter erhalten klar definierte Rollen mit spezifischen Zugriffsrechten.
• Vergabe von administrativen Rechten nur nach Freigabe: Administrationsrechte werden nur nach schriftlicher Genehmigung vergeben.
• Rücknahme von Zugriffsrechten nach Funktionswechsel oder Austritt: Ehemalige Mitarbeiter oder Mitarbeiter mit geänderter Rolle verlieren ungenutzte Rechte.
• Mitarbeiterschulungen zur sicheren Nutzung von Zugriffsrechten: Regelmäßige Schulungen zu Datenschutz und Zugriffskontrolle.
• Einsatz einer Zugriffskontrollrichtlinie: Definition und Umsetzung klarer Regeln zur Zugriffskontrolle.
• Einschränkung der Administratorrechte auf wenige, geschulte Personen: Administrative Konten werden nur an ausgewählte Mitarbeiter vergeben.
• Benutzerrechte werden durch Administratoren anhand eines Rollen- und Berechtigungskonzepts vergeben: Zugriffsrechte werden strukturiert und nachvollziehbar verwaltet.
• Für die Nutzung von PCs durch mehrere Beschäftigte bestehen individuelle Benutzerkonten: Jeder Nutzer erhält ein eigenes, geschütztes Konto.
• Es gibt eine Richtlinie zum Umgang mit Datenträgern: Definierte Regeln zur sicheren Nutzung und Lagerung von Speichermedien.
• Es besteht eine Richtlinie zur sicheren Datenträgervernichtung: Verpflichtende Maßnahmen für die sichere Vernichtung von Datenträgern.
• Verwendung von Aktenvernichtern: Papierunterlagen mit sensiblen Daten werden sicher entsorgt.
• Verwendung von Datenträgervernichtern: Alte Speichermedien werden mechanisch oder elektronisch zerstört.
• Die Anzahl der Administratoren mit vollem Zugriff wird minimal gehalten: Reduzierung von Sicherheitsrisiken durch begrenzte Administratorenanzahl.
• Notfallprozesse für unbefugten Zugriff: Bei Verdacht wird sofort der Account gesperrt und in der GF wird darüber gesprochen und über Maßnahmen gesprochen und eingeleitet
• Deaktivierung von Zugangsdaten nach festgelegtem Zeitraum: Regelmäßige Bereinigung nicht genutzter Konten zur Minimierung von Risiken.
• Sensibilisierung für Social-Engineering-Angriffe: Schulungen zur Erkennung und Abwehr von Manipulationsversuchen.
• Strikte Kontrolle von Drittanbietern mit Zugriff auf Unternehmenssysteme: Externe Dienstleister erhalten nur notwendige, befristete Zugriffsrechte.
• Vergabe von Schreib- und Leserechten je nach Aufgabengebiet: Individuelle Rechtevergabe zur Vermeidung unnötiger Zugriffsrechte.

1.4 Trennungskontrolle

Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.

Umgesetzte technische Maßnahmen:

• Trennung anhand der Ordnerstrukturen einer Festplatte: Daten unterschiedlicher Verarbeitungszwecke werden durch getrennte Verzeichnisse organisiert.
• Trennung von Produktiv- und Testumgebung: Produktiv- und Testsysteme werden physisch oder logisch voneinander getrennt, um Datenverfälschungen zu vermeiden.
• Physikalische Trennung der Systeme, Datenbanken und Datenträger: Daten, die zu unterschiedlichen Zwecken verarbeitet werden, werden auf separaten Servern, Datenbanken oder Datenträgern gespeichert.
• Steuerung der Verarbeitung anhand eines Berechtigungskonzepts: Nur berechtigte Personen erhalten Zugriff auf bestimmte Datensätze oder Verarbeitungssysteme.
• Festlegung von Datenbankzugriffsrechten: Zugriffsrechte werden differenziert nach Benutzergruppen und Verarbeitungszweck vergeben.
• Trennung von Zugriffsrechten je nach Datenkategorie: Zugriffe auf personenbezogene Daten sind von Zugriffen auf sonstige nicht-personenbezogene Daten strikt getrennt.
• Logische Trennung innerhalb von Datenbanken: Datenbanktabellen enthalten nur zweckgebundene Informationen, um eine Vermischung zu vermeiden.
• Steuerung der Verarbeitung durch jeweils angepasste Datenbankzugriffsrechte: Jede Datenbank hat spezifische Zugriffsbeschränkungen, um eine ungewollte Vermischung der Daten zu verhindern.
• Separate Verschlüsselung für unterschiedliche Datentypen: Datenverschlüsselung erfolgt nach ihrem Zweck mit unterschiedlichen Schlüsseln.
• Einsatz mandantenfähiger Systeme: Systeme ermöglichen es, Daten mehrerer Organisationseinheiten (z.B. Kunden) technisch voneinander zu trennen (z.B. durch Mandantenstrukturen in Cloud-Anwendungen).

Umgesetzte organisatorische Maßnahmen:

• Regelmäßige Überprüfung der Trennungsmaßnahmen: Interne Audits stellen sicher, dass die Datentrennung gewahrt bleibt.
• Löschkonzept für nicht mehr benötigte Daten unterschiedlicher Zwecke: Regelmäßige Löschung oder Anonymisierung von Daten nach Ablauf der Speicherfrist.
• Verfahrensanweisungen zur getrennten Verarbeitung: Es ist festgelegt, welche Systeme oder Prozesse für welche Datenzwecke verwendet werden dürfen.
• Schulung der Mitarbeitenden zur Trennung personenbezogener Daten: Mitarbeitende werden für die Bedeutung und Umsetzung der Trennung sensibilisiert.

1.5 Pseudonymisierung

Maßnahmen, die gewährleisten, dass die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechenden technischen und organisatorischen Maßnahmen unterliegen, die gewährleisten, dass die personenbezogenen Daten nicht einer identifizierten oder identifizierbaren natürlichen Person zugewiesen werden und auch nicht zugewiesen werden können.

Umgesetzte technische Maßnahmen:

• Pseudonymisierung personenbezogener Daten, wo technisch möglich und zweckdienlich: Identifizierende Merkmale werden durch Kennungen ersetzt, die ohne Hinzuziehung gesondert gespeicherter Zuordnungsinformationen keiner Person zugeordnet werden können.
• Getrennte Speicherung von Zuordnungsinformationen: Die zur Aufhebung der Pseudonymisierung erforderlichen Zusatzinformationen werden logisch und zugriffstechnisch getrennt von den pseudonymisierten Daten aufbewahrt.
• Kürzung/Pseudonymisierung von IP-Adressen: Bei der Verarbeitung von Nutzungs- und Zugriffsdaten werden IP-Adressen vor einer Weiterverarbeitung gekürzt oder pseudonymisiert.
• Einsatz von Dummy-Daten in Test- und Entwicklungsumgebungen: In nicht-produktiven Umgebungen werden personenbezogene Daten durch pseudonyme oder synthetische Werte ersetzt.

Umgesetzte organisatorische Maßnahmen:

• Zugriffsbeschränkung auf Zuordnungsinformationen nach dem Need-to-Know-Prinzip: Nur ein eng begrenzter, berechtigter Personenkreis kann die Pseudonymisierung aufheben.
• Dokumentation der Pseudonymisierungsverfahren, der eingesetzten Verfahren und der Zuständigkeiten ist nachvollziehbar dokumentiert.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft werden kann, an welche Stellen eine Übermittlung personenbezogener Daten zur Datenübertragung vorgesehen ist.

Umgesetzte technische Maßnahmen:

• Zugriffsprotokollierung bei Cloud-Freigaben: Dateiabrufe über geteilte Cloud-Plattformen werden automatisch protokolliert.
• Nutzung von Signaturverfahren: Elektronische Dokumente und Verträge werden mit Signaturverfahren gesichert.
• Sicherung der Übermittlung anhand eines Verfahrensverzeichnisses: Datenweitergaben erfolgen nach festgelegten, dokumentierten Verfahren.

Umgesetzte organisatorische Maßnahmen:

• Weitergabe erfolgt nur an berechtigte Empfänger gemäß Datenschutzvorgaben: Die Weitergabe erfolgt nur an befugte Personen oder Organisationen, die nachweislich zur Verarbeitung berechtigt sind.
• Einhaltung gesetzlicher und vertraglicher Vorschriften zur Weitergabe: Alle Datenweitergaben erfolgen unter Beachtung der gesetzlichen Datenschutzanforderungen und vertraglichen Regelungen.
• Die Empfänger von Daten werden dokumentiert und kontrolliert: Alle Empfänger personenbezogener oder sensibler Daten werden registriert und regelmäßig überprüft.
• Der Zeitraum der Überlassung der Daten wird protokolliert: Die Dauer der Datenweitergabe wird dokumentiert, um eine fristgerechte Rückführung oder Löschung sicherzustellen.
• Vertraulichkeitsvereinbarungen bei interner Weitergabe: Mitarbeitende, die intern sensiblen Daten weiterleiten oder empfangen, sind vertraglich zur Vertraulichkeit verpflichtet.
• Verpflichtungserklärungen oder NDA für Externe vor der Datenweitergabe: Externe Dienstleister oder Empfänger erhalten Zugang zu personenbezogenen Daten nur nach Unterzeichnung einer Verschwiegenheitserklärung oder eines Auftragsverarbeitungsvertrags.

2.2 Eingabekontrolle

Maßnahmen, die es erlauben, dass nachträglich überprüft werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind und ob diese den Ursprungsdaten entsprechen.

Umgesetzte technische Maßnahmen:

• Die Eingabe, Veränderung und Löschung von Daten werden technisch protokolliert: Alle Änderungen in Clickup, Sharepoint und Onedrive werden automatisch protokolliert, um eine lückenlose Nachverfolgbarkeit sicherzustellen.
• Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen: Jede Dateneingabe, -änderung oder -löschung ist mit einem spezifischen Benutzerkonto verknüpft.
• Einsatz von Logging-Mechanismen: Systeme speichern sämtliche Eingaben, Änderungen und Löschungen in Audit-Logs.
• Zeitstempel für jede Eingabe, Änderung oder Löschung: Jede Änderung wird mit einem exakten Zeitstempel versehen, um eine vollständige Nachvollziehbarkeit zu gewährleisten.
• Einsatz von Versionierungssystemen für Dateneingaben: Veränderte oder gelöschte Daten werden in Versionierungsprotokollen gespeichert, um eine Wiederherstellung zu ermöglichen.
• Vergabe von Zugriffsberechtigungen: Nutzer erhalten nur die Rechte zur Dateneingabe oder -änderung, die für ihre Aufgaben erforderlich sind.
• Technische Schutzmaßnahmen gegen unautorisierte Datenveränderungen: Zugriffsrechte und Mechanismen wie Mehrfaktor-Authentifizierung verhindern unbefugte Änderungen.
• Automatische Validierung der eingegebenen Daten: Eingaben werden automatisch auf Plausibilität und Vollständigkeit geprüft.
• Sichtschutzmasken für Eingabefelder mit sensiblen Daten: In Benutzeroberflächen werden sensible Eingaben wie Passwörter automatisch verdeckt dargestellt.
• Konfigurierbare Rollen für Eingabeprozesse in Workflows: Systeme erlauben eine granulare Zuweisung, welche Nutzer welche Eingabefelder und Masken bearbeiten dürfen.

Umgesetzte organisatorische Maßnahmen:

• Klare Dokumentation von Berechtigungsvergaben: Alle Zugriffsrechte auf Dateneingabe und Veränderung werden dokumentiert und regelmäßig überprüft.
• Vier-Augen-Prinzip für kritische Dateneingaben: Sensible oder besonders relevante Eingaben werden von einer zweiten Person überprüft.
• Einhaltung gesetzlicher Vorschriften zur Dateneingabe und -löschung: Alle Eingabe- und Löschprozesse entsprechen den Datenschutzvorgaben der DSGVO und weiteren relevanten Gesetzen.
• Dokumentierte Freigabeprozesse für strukturrelevante Dateneingaben: Für Daten mit systemischen Auswirkungen (z.B. in CRM oder ERP) existieren dokumentierte Freigaben.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

3.1 Verfügbarkeitskontrolle

Maßnahmen zur Wahrung der Verfügbarkeit stellen sicher, dass verarbeitete personenbezogene Daten auch bei technischen Störungen, Ausfällen oder sonstigen Zwischenfällen weiterhin zugänglich sind und der Geschäftsbetrieb ohne wesentliche Einschränkungen fortgeführt werden kann.

Umgesetzte technische Maßnahmen:

Einsatz eines nach ISO 27001 zertifizierten Hosting-Partners (IONOS) mit redundanter Strom- und Netzanbindung; automatisierte Systemüberwachung und Alarmierung; Ausfallsicherung auf Infrastrukturebene; regelmäßige automatisierte Backups; Firewall- und DDoS-Schutz des Providers.

Umgesetzte organisatorische Maßnahmen:

• Notfallplan für IT-Ausfälle: Vorgehensweise bei Ausfällen ist schriftlich dokumentiert und abrufbar.
• Zuständigkeiten für IT-Notfälle klar definiert: Im Ernstfall sind Aufgaben und Ansprechpartner eindeutig geregelt.
• Verfügbarkeitskontrollrichtlinie im IT-Sicherheitskonzept verankert: Die Grundsätze der Verfügbarkeitskontrolle sind Bestandteil eines übergeordneten Sicherheitskonzepts.
• Einsatz eines nach ISO 27001 zertifizierten Hosting-Unternehmens: Der eingesetzte Hostingpartner verfügt über ein zertifiziertes Informationssicherheits-Managementsystem (ISMS).
• Einsatz von Rechenzentren mit hohen Sicherheitsstandards: Unser Hosting-Unternehmen schützt seine Server durch mehrstufige physische und technische Sicherheitsmaßnahmen.

3.2 Wiederherstellbarkeit

Maßnahmen zur Wiederherstellbarkeit gewährleisten, dass nach einem Verlust oder einer Beeinträchtigung personenbezogener Daten deren Verfügbarkeit zeitnah und in angemessener Qualität wiederhergestellt wird, um einen ordnungsgemäßen Betrieb sicherzustellen.

Umgesetzte technische Maßnahmen:

• Datensicherungskonzept vorhanden: Definierte Strategie zur regelmäßigen Sicherung und Wiederherstellung von Daten.
• Backup-Konzept: Systematische Planung und Durchführung regelmäßiger Datensicherungen.
• Speicherung von Backups an einem externen Ort: Sicherungskopien werden an einem räumlich getrennten, sicheren Standort aufbewahrt.
• Automatisierte Backup-Prozesse mit Versionierung: Backups werden regelmäßig erstellt und mit Zeitstempeln versehen.
• Georedundante Backup-Speicherung: Verteilung von Backups auf verschiedene geografische Standorte in Deutschland zur Absicherung gegen Standortausfälle.
• Backup-Monitoring-Systeme: wird an unseren Dienstleistern mittels AVV durchgereicht für die Automatisierte Überwachung und Alarmierung bei fehlgeschlagenen oder unvollständigen Backups.

Umgesetzte organisatorische Maßnahmen:

• Notfallplan/Wiederanlaufplan: Detaillierter Plan zur schnellen Wiederherstellung der IT-Systeme im Störungsfall.
• Regelmäßige Überprüfung der Backup-Prozesse: Wir durch unseren Cloudanbieter Kontinuierliche Überwachung und Verbesserung der Datensicherungsstrategien.
• Schulungen für IT-Personal zur Wiederherstellung von Systemen: Mitarbeitende werden in der schnellen und sicheren Wiederherstellung geschult.
• Dokumentation der Backup- und Wiederherstellungsverfahren: muss an unserem Cloudanbieter durchgereicht werden das alle Prozesse nachvollziehbar dokumentiert und werden regelmäßig aktualisiert.
• Vertragliche Regelungen mit IT-Dienstleistern zur schnellen Wiederherstellung: Externe Partner garantieren bestimmte Reaktionszeiten im Notfall.
• Einhaltung gesetzlicher Anforderungen zur Datensicherung: Backups und Wiederherstellungsmethoden entsprechen DSGVO und BDSG.
• Verantwortlichkeiten für Backup und Wiederherstellung klar geregelt: Zuständigkeiten und Vertretungen sind schriftlich definiert.
• Zeitpläne und Wiederanlaufprioritäten im Notfallplan definiert: Kritische Systeme werden zuerst wiederhergestellt – abgestuft nach Priorität.
• Regelmäßige Schulungen zu Ransomware-Schutz und Backup-Strategien: Prävention und Reaktionsfähigkeit werden durch Weiterbildung gestärkt.
• Protokollierung und Nachvollziehbarkeit jeder Wiederherstellung: Die ist in der AVV und Tom-übersicht unser Cloudanbieter geregelt das jeder Wiederherstellungsvorgang wird mit Uhrzeit, Dateninhalt und Akteur dokumentiert.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Maßnahmen (Art. 32 Abs. 1 lit. d DSGVO; ergänzend Art. 25 und Art. 28 DSGVO)

4.1 Datenschutz durch Technik

Maßnahmen zur Umsetzung datenschutzrechtlicher Vorgaben, also Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen.

Umgesetzte technische Maßnahmen:

• Minimaldatenerhebung: Es werden nicht mehr Daten erhoben, als für den jeweiligen Zweck erforderlich ist (Datensparsamkeit).
• Einfache Ausübung eines Widerspruchs zu einer Einwilligung durch technische Maßnahmen: Nutzer können ihre Einwilligung einfach über digitale Schnittstellen widerrufen, z. B. über Datenschutzeinstellungen oder ein Benutzerkonto.
• Anonymisierung und Pseudonymisierung personenbezogener Daten: Personenbezogene Daten werden, wo immer möglich, anonymisiert oder pseudonymisiert verarbeitet.
• Automatische Löschung personenbezogener Daten nach Ablauf der Speicherfrist: Daten werden nach definierten Zeiträumen automatisiert gelöscht, um eine unnötige Speicherung zu vermeiden.
• Technische Maßnahmen zur Beschränkung der Zugänglichkeit: Daten sind durch technische Voreinstellungen nur für berechtigte Personen zugänglich (z. B. durch rollenbasierte Zugriffsrechte).
• Standardmäßig aktivierte Datenschutzeinstellungen: Voreinstellungen in Systemen und Anwendungen sind datenschutzfreundlich, sodass Nutzer aktiv in weitergehende Datennutzungen einwilligen müssen.
• Technische Voreinstellung zur Beschränkung der Speicherdauer: Daten werden anhand vordefinierter Speicherfristen teilweise automatisch gelöscht oder archiviert.
• Zwangsanonymisierung sensibler Daten in Test- und Entwicklungsumgebungen: In nicht- produktiven Umgebungen werden personenbezogene Daten durch Dummy-Daten ersetzt.
• Standardmäßige Deaktivierung nicht notwendiger Funktionen (Opt-In): Funktionen wie Standortfreigabe, Kamera oder Mikrofon sind standardmäßig deaktiviert und müssen bewusst aktiviert werden.
• Technische Voreinstellungen zur Minimierung bei Formularfeldern: Nur erforderliche Felder sind verpflichtend; weitere Angaben sind optional.

Umgesetzte organisatorische Maßnahmen:

• Datenschutzfreundliche Voreinstellungen als Standard: Systeme und Anwendungen sind standardmäßig so konfiguriert, dass nur die notwendigsten Daten verarbeitet werden.
• Regelmäßige Datenschutzprüfungen und Audits: Systeme werden regelmäßig auf Datenschutzkonformität geprüft und notwendige Anpassungen vorgenommen.
• Dokumentation von Datenschutzmaßnahmen in technischen Konzepten: Alle datenschutzrelevanten Maßnahmen sind in IT- und Datenschutzkonzepten dokumentiert.
• Sensibilisierung und Schulung von Mitarbeitenden zu Datenschutzmaßnahmen: Mitarbeitende werden regelmäßig zum Prinzip der Datensparsamkeit und zu datenschutzfreundlichen Einstellungen geschult.
• Verpflichtung von Drittanbietern zur Umsetzung datenschutzfreundlicher Voreinstellungen: Externe Dienstleister müssen sicherstellen, dass ihre Systeme datenschutzkonform voreingestellt sind.
• Berücksichtigung von Datenschutzprinzipien bei der Entwicklung neuer IT-Systeme: Bereits bei der Konzeption und Implementierung neuer Anwendungen werden datenschutzfreundliche Voreinstellungen integriert.
• Regelmäßige Kontrolle der Zugriffsbeschränkungen: Überprüfung, ob nur berechtigte Personen auf personenbezogene Daten zugreifen können.
• Review-Prozess vor dem Rollout neuer Anwendungen: Vor der Einführung neuer IT-Systeme wird geprüft, ob Datenschutzprinzipien wie Datensparsamkeit und Zweckbindung technisch umgesetzt sind.

4.2 Auftragskontrolle als Auftraggeber

Maßnahmen, die sicherstellen, dass ein beauftragter Auftragsverarbeiter personenbezogene Daten ausschließlich entsprechend den dokumentierten Weisungen des Auftraggebers verarbeitet und diese Weisungen unverzüglich umsetzt.

Umgesetzte technische Maßnahmen:

• Verschlüsselte Übermittlung von Daten an Auftragsverarbeiter: Der Auftraggeber stellt sicher, dass die Datenübertragung nur über verschlüsselte Kanäle (z. B. SFTP, TLS, VPN) erfolgt.
• Technische Zugriffsbeschränkungen für Auftragsverarbeiter: Der Auftraggeber definiert und kontrolliert, dass der Auftragsverarbeiter nur Zugriff auf notwendige Daten erhält (Least-Privilege-Prinzip).
• Protokollierung der Datenverarbeitung durch Auftragsverarbeiter: Der Auftraggeber stellt sicher, dass der Auftragsverarbeiter die Verarbeitung und Zugriffe auf personenbezogene Daten protokolliert.
• Technische Maßnahmen zur Löschung und Vernichtung von Daten nach Auftragsende: Der Auftraggeber definiert vertraglich und prüft, dass personenbezogene Daten nach Beendigung des Auftrags sicher gelöscht oder vernichtet werden.
• Regelmäßige Sicherheitsüberprüfungen der IT-Systeme der Auftragsverarbeiter: Der Auftraggeber behält sich vor, Sicherheitsprüfungen oder Audits durchzuführen.

Umgesetzte organisatorische Maßnahmen:

• Sorgfältige Auswahl von Auftragsverarbeitern: Der Auftraggeber prüft vor der Beauftragung, ob der Auftragsverarbeiter geeignete Datenschutzmaßnahmen implementiert hat.
• Abschluss eines Auftragsverarbeitungsvertrags (AVV): Der Auftraggeber schließt mit dem Auftragnehmer einen AVV gemäß DSGVO ab.
• Vereinbarung von Kontrollrechten: Der Auftraggeber behält sich das Recht vor, Datenschutzprüfungen oder Audits beim Auftragnehmer durchzuführen.
• Tatsächliche Vor-Ort-Kontrolle der Auftragsausführung: Bei besonders sensiblen Verarbeitungen führt der Auftraggeber Vor-Ort-Kontrollen durch.
• Sicherstellung der Vernichtung/Löschung von Daten nach Auftragsbeendigung: Der Auftraggeber stellt sicher, dass die vereinbarten Maßnahmen zur Datenlöschung durch den Auftragnehmer umgesetzt werden.
• Dokumentation der Datenverarbeitung durch den Auftragsverarbeiter: Der Auftraggeber verpflichtet den Auftragnehmer, sämtliche relevanten Verarbeitungsvorgänge zu dokumentieren.
• Verpflichtung des Auftragsverarbeiters zur Benennung eines Datenschutzbeauftragten (sofern erforderlich): Der Auftraggeber stellt sicher, dass ein zuständiger Ansprechpartner beim Auftragsverarbeiter vorhanden und erreichbar ist.
• Klare Prozesse bei Datenschutzvorfällen beim Auftragsverarbeiter: Der Auftraggeber verpflichtet den Auftragsverarbeiter, Datenschutzverletzungen unverzüglich zu melden, inklusive klar definierter Fristen und Eskalationsmechanismen.

4.3 Auftragskontrolle als Auftragnehmer

Maßnahmen, die gewährleisten, dass personenbezogene Daten im Rahmen einer Auftragsverarbeitung nur gemäß den vom Auftraggeber erteilten Weisungen verarbeitet werden. Eingehende Weisungen werden dokumentiert, auf Umsetzbarkeit geprüft und unverzüglich umgesetzt.

Umgesetzte technische Maßnahmen:

• Zugangskontrollen für Systeme mit Auftragsdaten: Der Auftragnehmer setzt technische Schutzmaßnahmen wie Passwörter, Zwei-Faktor-Authentifizierung oder rollenbasierte Zugriffsrechte ein, um den Zugriff auf personenbezogene Daten auf autorisierte Nutzer zu beschränken.
• Sicherstellung der sicheren Datenübertragung: Datenübertragungen zwischen dem Auftragnehmer und Dritten (z.B. dem Auftraggeber oder Unterauftragnehmern) erfolgen ausschließlich über gesicherte, verschlüsselte Übertragungswege wie TLS oder VPN.
• Technische Maßnahmen zur Löschung und Vernichtung von Daten nach Auftragsende: Der Auftragnehmer implementiert datenschutzkonforme Verfahren zur sicheren und vollständigen Löschung oder Vernichtung der personenbezogenen Daten nach Abschluss der vertraglich vereinbarten Verarbeitung.
• Protokollierung von Verarbeitungsvorgängen: Alle relevanten Datenverarbeitungstätigkeiten werden automatisch und nachvollziehbar protokolliert (z.B. Zugriffe, Änderungen, Exporte), um eine lückenlose Kontrolle und Nachverfolgbarkeit zu gewährleisten.
• Mandantenfähigkeit der Systeme: IT-Systeme des Auftragnehmers trennen Daten verschiedener Auftraggeber logisch oder physisch, sodass keine ungewollte Vermischung der Verarbeitung stattfinden kann.
• Technische Beschränkung von Export- und Downloadfunktionen: Datenexporte sind nur für berechtigte Benutzer möglich, können zusätzlich freigabepflichtig sein oder werden protokolliert.
• Monitoring-Systeme zur Erkennung unzulässiger Datenzugriffe: Der Auftragnehmer betreibt ein technisches Monitoring, das ungewöhnliche oder unzulässige Datenzugriffe erkennt und automatische Sicherheitsmechanismen auslöst (z.B. Alarmierung, Sperrung, Logging).

Umgesetzte organisatorische Maßnahmen:

• Einhaltung des Auftragsverarbeitungsvertrags: Der Auftragnehmer richtet alle internen Prozesse so aus, dass die Vorgaben aus dem abgeschlossenen Auftragsverarbeitungsvertrag (AVV) vollständig erfüllt werden.
• Schulungen der Mitarbeitenden zum Datenschutz: Alle mit personenbezogenen Daten befassten Mitarbeitenden erhalten regelmäßig Datenschutzschulungen, insbesondere zum Umgang mit Auftragsdaten, zu Sicherheitsanforderungen und zur Meldung von Vorfällen.
• Mitarbeitende werden zur Vertraulichkeit verpflichtet: Der Auftragnehmer stellt sicher, dass alle Mitarbeitenden eine schriftliche Vertraulichkeitserklärung unterzeichnet haben, bevor sie Zugriff auf personenbezogene Daten erhalten.
• Sicherstellung der Nutzung sicherer IT-Systeme: Der Auftragnehmer überprüft regelmäßig, ob die eingesetzten Hard- und Softwaresysteme aktuellen Sicherheitsstandards entsprechen und nur autorisierten Zugriff zulassen.
• Regelmäßige interne Überprüfung der Datenschutzmaßnahmen: Interne Audits oder Selbstprüfungen stellen sicher, dass Datenschutzvorgaben fortlaufend eingehalten werden und Prozesse ggf. angepasst werden.
• Dokumentation aller Maßnahmen zur Einhaltung des Datenschutzes: Sämtliche umgesetzten technischen und organisatorischen Maßnahmen werden nachvollziehbar dokumentiert, um auf Anfrage des Auftraggebers oder der Aufsichtsbehörde nachgewiesen werden zu können.
• Benennung eines Ansprechpartners oder Datenschutzbeauftragten: Der Auftragnehmer benennt eine verantwortliche Person (intern oder extern), die für die Umsetzung der Datenschutzvorgaben zuständig ist und für den Auftraggeber als Ansprechpartner fungiert.
• Interne Meldeprozesse für Datenschutzvorfälle: Es bestehen verbindliche Prozesse, wie Mitarbeitende Datenschutzverletzungen melden müssen. So wird eine unverzügliche Information des Auftraggebers gemäß Art. 33 DSGVO sichergestellt.
• Richtlinie zum Umgang mit Supportzugriffen auf Auftragsdaten: Supportleistungen, die Zugriff auf personenbezogene Daten erfordern, erfolgen nur mit vorheriger Genehmigung und unter Dokumentation der jeweiligen Maßnahmen.
• Organisatorische Trennung von Verarbeitungen für unterschiedliche Auftraggeber: Die Auftragsverarbeitung erfolgt strikt nach Mandantenzuordnung. Prozesse, Systeme und Dokumentation gewährleisten eine saubere Trennung von Aufträgen und Datensätzen unterschiedlicher Kunden.

4.4 Datenschutz-Management

Der Verantwortliche hat ein umfassendes Datenschutz-Managementsystem etabliert, das über die rein technischen und organisatorischen Einzelmaßnahmen hinausgeht. Ziel ist es, den Datenschutz ganzheitlich in die Organisationsprozesse zu integrieren und kontinuierlich zu verbessern. Kernbestandteile dieses Systems sind:

• Verbindliche Leitlinien und Richtlinien: Alle datenschutzrechtlich relevanten Prozesse sind in einem Datenschutz-Management-Handbuch dokumentiert. Dieses Handbuch dient als verbindliche Grundlage für Beschäftigte und sonstige Person innerhalb der Organisation.
• Regelmäßige Schulungen und Sensibilisierung: Mitarbeitende werden fortlaufend zu datenschutz- rechtlichen Anforderungen, technischen Maßnahmen sowie zu einem verantwortungsvollen Umgang mit personenbezogenen Daten geschult.
• Kontinuierliche Überwachung und Aktualisierung: Die Datenschutzmaßnahmen werden regelmäßig überprüft und an neue rechtliche, organisatorische und technische Entwicklungen angepasst.
• Einbindung des Datenschutzbeauftragten: Der externe Datenschutzbeauftragte begleitet sämtliche Prozesse beratend und überprüfend, um die Einhaltung der gesetzlichen Anforderungen sicherzustellen.

Die Einzelheiten zu diesen Maßnahmen ergeben sich aus dem Datenschutz-Management-Handbuch, welches die hier dargestellten TOM ergänzt und eine umfassende Übersicht über die organisatorischen Abläufe, Zuständigkeiten und Prozesse im Datenschutz bietet.

Anhang 2 zu Anlage 1 – Genehmigte Unterauftragnehmer

Nachfolgend werden die im Rahmen der Auftragsverarbeitung eingesetzten Subunternehmer gemäß Art. 28 DSGVO aufgeführt. Der Auftraggeber genehmigt zum Zeitpunkt des Abschlusses des Vertrags den Einsatz der nachfolgend aufgeführten Unterauftragnehmer des Auftragnehmers:

Anlage 2 – Vereinbarung zum Cloud-Switching nach Data Act

1. Erfüllung der Informationspflichten

1.1. Der Kunde erhält vom Anbieter im Anhang die folgenden Informationen nach Art. 25, Art. 26, Art. 28 und 29 Data Act:

1.1.2. zu den Standard-Servicegebühren und gegebenenfalls zu den Strafen für eine vorzeitige Beendigung;

1.1.3. zu den Wechselentgelten;

1.1.4. eine erschöpfende Auflistung der Kategorien von Daten und digitalen Vermögenswerten, die exportiert werden können;

1.1.5. eine erschöpfende Auflistung der Datenkategorien, die für den internen Betrieb des Datenverarbeitungsdienstes des Anbieters spezifisch sind und von der Verpflichtung zum Datenexport ausgenommen sind, wenn die Gefahr einer Verletzung der Geschäftsgeheimnisse des Anbieters besteht.

1.1.6. Informationen zu den Verfahren für den Wechsel vom Datenverarbeitungsdienst, die maschinenlesbaren Datenformate, in denen die Nutzerdaten exportiert werden können, die Instrumente für den Datenexport, einschließlich offener Schnittstellen, Informationen zur Kompatibilität mit harmonisierten Normen oder gemeinsamen Spezifikationen auf der Grundlage offener Interoperabilitätsspezifikationen, Informationen über technische Beschränkungen und Einschränkungen, die sich auf den Vollzug des Wechsels auswirken und die geschätzte Zeit, die erforderlich ist, um den Wechsel zu vollziehen.

1.1.7. Die Webseite des Online-Registers des Anbieters mit Datenstrukturen und -formaten, relevanten Standards und offenen Interoperabilitätsspezifikationen, in denen die 1.1.4 genannten exportierbaren Daten verfügbar sind.

1.1.8. Die Webseite des Anbieters mit Informationen in Bezug auf den Zugang und die Übermittlung im internationalen Umfeld.

1.1.9. Gegebenenfalls Informationen über Datenverarbeitungsdienste, durch die der Wechsel sehr kompliziert oder kostspielig wird oder ohne nennenswerte Eingriffe in die Daten, digitalen Vermögenswerte oder die Dienstarchitektur unmöglich ist.

2. Einleitung des Wechselvorgangs

2.1. Der Kunde hat dem Anbieter eine Wechselmitteilung mindestens in Textform zukommen zu lassen, mit der er den Wechsel einleitet.

2.2. In einer solchen Wechselmitteilung hat der Kunde mitzuteilen, ob er beabsichtigt:

2.2.1. zu einem anderen Anbieter von Datenverarbeitungsdiensten zu wechseln. In diesem Fall sollte der Kunde die erforderlichen Angaben zum Zielanbieter machen, insbesondere Name, Anschrift und Webseite;

2.2.2. zu einer lokalen IKT-Infrastruktur des Kunden zu wechseln; oder

2.2.3. nicht zu wechseln, sondern seine exportierbaren Daten und digitalen Vermögenswerte beim Anbieter zu löschen.

2.3. Der Anbieter wird dem Kunden den Erhalt der Wechselmitteilung spätestens innerhalb von 5 Werktagen auf dem gleichen Kommunikationsweg bestätigen, den der Kunde verwendet hat.

3. Übergangszeitraum im Fall eines Wechsels

3.1. Der verbindliche maximale Übergangzeitraum im Fall eines Wechsels beträgt 2 Monate (Kündigungsfrist nach Art. 25 Abs. 2 lit. d Data Act) und 30 Kalendertage (Übergangsfrist nach Art. 25 Abs. 2 lit. a Data Act).

3.2. Wenn der Anbieter den verbindlichen maximalen Übergangszeitraum für den Wechsel von 2 Monaten und 30 Kalendertagen aus technischen Gründen nicht einhalten kann, verpflichtet er sich:

3.2.1. den Kunden innerhalb von 14 Werktagen nach Erhalt der Kündigungsmitteilung schriftlich, einschließlich auf geeigneten elektronischen Weg, zu benachrichtigen;

3.2.2. eine alternative Übergangszeit anzugeben, die sieben Monate ab Zugang der Mitteilung eines Wechsels nach 2.1. nicht überschreiten darf; und

3.2.3. die technische Unmöglichkeit angemessen zu begründen.

Der Kunde hat den Erhalt dieser Verlängerungsmitteilung innerhalb von 3 Werktagen zu bestätigen.

3.3. Der Kunde kann die Übergangszeit einmalig um einen Zeitraum verlängern, den er für seine Zwecke für angemessener hält, jedoch nicht länger als 8 Monate nach Zugang der Mitteilung eines Wechsels nach 2.1. In diesem Fall muss der Kunde den Anbieter schriftlich, auch auf elektronischem Wege, über seine Absicht bis zum Ende der ursprünglichen Übergangszeit von 2 Monaten und 30 Kalendertagen informieren und die alternative Übergangszeit angeben. Der Anbieter wird den Erhalt einer solchen Verlängerungsmitteilung innerhalb von 5 Werktagen bestätigen.

4. Pflichten des Anbieters während des Wechselprozesses

4.1. Der Anbieter verpflichtet sich, dem Kunden und den vom Kunden bevollmächtigten Dritten nach Beginn des Wechselprozesses und während dessen gesamten Dauer angemessene Unterstützung zu leisten, damit der Kunde innerhalb des vorgeschriebenen maximalen Übergangszeitraums (2 Monate und 30 Kalendertage) wechseln kann. Zu diesem Zweck wird der Anbieter insbesondere:

4.1.1. Fähigkeiten, angemessene Informationen (einschließlich der für den Wechsel erforderlichen Unterlagen) und technische Unterstützung bereitstellen. Werden Probleme festgestellt, analysieren der Anbieter und der Kunde in gutem Glauben die Ursachen und vereinbaren Lösungen.

4.1.2. Mit der gebotenen Sorgfalt handeln, um die Geschäftskontinuität aufrechtzuerhalten und die Funktionen oder Dienstleistungen gemäß der Vereinbarung weiterhin bereitzustellen.

4.1.3. Während des gesamten Wechselprozesses ein hohes Maß an Sicherheit gewährleisten, insbesondere für die Sicherheit der Daten während ihrer Übertragung.

5. Pflichten des Kunden während des Wechselprozesses

5.1. Der Kunde verpflichtet sich, alle angemessenen Maßnahmen zu ergreifen, um einen effektiven Wechsel zu erreichen. Der Kunde verpflichtet sich, die Verantwortung für den Import und die Implementierung von Daten und digitalen Assets in seinen eigenen Systemen oder in den Systemen des Zielanbieters zu übernehmen.

5.2. Der Kunde verpflichtet sich, die geistigen Eigentumsrechte an allen Materialien, die vom Anbieter im Rahmen des Wechsels bereitgestellt werden, sowie die Geschäftsgeheimnisse des Anbieters vertraulich zu behandeln und sicherzustellen, dass von ihm beauftragte Dritte, einschließlich des Zielanbieters dies gleichfalls tun. Für den Fall, dass der Kunde Dritten Zugang zu diesen Materialien gewähren muss, verpflichtet er sich dies nur in dem Umfang zu tun, der zur Durchführung des Wechselvorgangs bis zum Ende des maximalen verbindlichen Übergangszeitraums, einschließlich der alternativen Übergangszeit, erforderlich ist, wobei gleichzeitig die Vertraulichkeitsverpflichtungen sowie die vom Anbieter gewährten Rechte an geistigem Eigentum zu beachten sind.

6. Datenabruf und Löschung von Daten im Fall eines Wechsels

6.1. Im Fall eines Wechsels nach 2.2.1. oder 2.2.2. kann der Kunde seine Daten während der Datenabrufperiode von 30 Kalendertagen, die ab Ablauf des verbindlichen maximalen Übergangszeitraums (3.1.) oder des verlängerten Übergangszeitraums (3.2.) beginnt, beim Anbieter abrufen oder löschen.

6.2. Nach Ablauf der vereinbarten Datenabrufperiode nach 6.1. oder der nach Ablauf eines vereinbarten alternativen Zeitraums als der Datenabrufperiode nach 6.1. und nach erfolgreichem Abschluss des Wechselvorgangs verpflichtet sich der Anbieter, alle vom Kunden generierten oder direkt mit dem Kunden in Verbindung stehenden exportierbaren Daten und digitalen Vermögenswerte zu löschen und dem Kunden dies zu bestätigen, mit Ausnahme der personenbezogenen exportierbaren Daten, zu deren Speicherung der Anbieter gemäß EU- oder nationalen Gesetzen verpflichtet ist.

6.3. Auch während der Datenabrufperiode hat der Anbieter für ein hohes Maß an Sicherheit zu sorgen.

7. Beendigung des Vertrags und Folgen

7.1. Unbeschadet der Regelungen zwischen den Parteien zur Kündigung des Vertrages, gilt im Falle der Einleitung eines Wechsels nach Ziffer 2. der Vertrag zwischen den Parteien dann als beendet, wenn eines der folgenden Ereignisse vollständig eingetreten ist:

7.1.1. Gegebenenfalls nach erfolgreichem Abschluss des Wechselvorgangs („Ereignis A“). Tritt Ereignis A vor Ablauf der vereinbarten Vertragslaufzeit ein, gelten die im Anhang festgelegten Gebühren für vorzeitige Kündigung, oder;

7.1.2. Am Ende der Kündigungsfrist von zwei Monaten, wenn der Kunde nicht wechseln, sondern seine exportierbaren Daten und digitalen Vermögenswerte bei Beendigung des Dienstes löschen möchte („Ereignis B“).

7.2. Sobald der Kunde dem Anbieter mitteilt, dass der Wechselvorgang erfolgreich abgeschlossen ist, verpflichtet sich der Anbieter, den Kunden unverzüglich über die Beendigung des Vertrags zu informieren.

Wenn der Kunde den Anbieter nicht über den erfolgreichen Wechsel oder dessen Ausbleiben informiert, der Anbieter jedoch berechtigte Gründe zu der Annahme hat, dass der Wechsel vom Kunden erfolgreich abgeschlossen wurde, kann der Anbieter dem Kunden eine Anfrage zur Bestätigung des erfolgreichen Wechsels zusenden. Wenn der Kunde den erfolgreichen Wechsel nicht innerhalb von 30 Werktagen nach dieser Anfrage bestätigt, gilt der Wechsel als nicht erfolgreich und der Vertrag wird nicht beendet, sondern zu den bestehenden Bedingungen fortgesetzt.

7.3. Wenn der in Ziffer 7.1.1. beschriebene Wechselvorgang nicht erfolgreich abgeschlossen werden kann, müssen die Parteien in gutem Glauben zusammenarbeiten, um das Problem zu identifizieren und zu lösen, damit der Wechselvorgang verbessert und erfolgreich abgeschlossen werden kann, eine zeitnahe Datenübertragung ermöglicht wird und die Kontinuität der Dienste gewährleistet bleibt. Insbesondere wird der Anbieter auf Wunsch des Kunden diesen dabei unterstützen, die Gründe für den erfolglosen Wechsel zu identifizieren, und ihn beraten, wie die identifizierten Hindernisse beseitigt oder umgangen werden können.

7.4. Nach eigenem Ermessen wird der Kunde auch den Zielanbieter einbeziehen, um den Wechselvorgang erfolgreich abzuschließen.

7.5. Wenn der Kunde nicht wechseln, sondern seine exportierbaren Daten und digitalen Vermögenswerte löschen möchte, verpflichtet sich der Anbieter, die Daten zu löschen, dies dem Kunden zu bestätigen und den Kunden nach Ablauf von 2 Monaten nach dem Löschungsverlangen über die Beendigung des Vertrags zu informieren.

7.6. Die Vereinbarung sowie die vereinbarten Dienstleistungen und Funktionen enden nicht, bevor eine der in den Ziffern 7.1.1. oder 7.1.2. beschriebenen Situationen (Ereignis A oder B) eindeutig eingetreten ist. Im Übrigen gilt die nachfolgende Ziffer 7.7.

7.7. Der Vertrag endet nicht vor dem erfolgreichen Abschluss des Wechselprozesses oder vor einer entsprechenden Entscheidung eines zuständigen Gerichts oder einer Parteivereinbarung.

7.8. Änderungen oder Ergänzungen dieser Anlage 2 bedürfen der Schriftform und beidseitiger Zustimmung.