Auftragsverarbeitungsvertrag

gemäß Art. 28 DSGVO für das webbasierte Wissensarchiv

Stand: 7. Juli 2026

Vertragsparteien

Auftragsverarbeiter: Tobias Völzke, Schadesweg 12, 20537 Hamburg, E-Mail: abg-mail-12@tobiasvoelzke.net.

Verantwortlicher: Der jeweilige Firmenkunde, der das Wissensarchiv für seine Organisation bucht und Mitarbeiterkonten anlegt oder anlegen lässt.

Der Hauptvertrag ist der Nutzungsvertrag über das webbasierte Wissensarchiv einschließlich der einbezogenen AGB, Leistungsbeschreibung und Preisvereinbarung.

§ 1 Gegenstand, Geltungsbereich und Rollenabgrenzung

(1) Dieser Auftragsverarbeitungsvertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Bereitstellung und Nutzung des webbasierten Wissensarchivs.

(2) Das Wissensarchiv dient der Bereitstellung von Weiterbildungs- und Informationsmaterialien, insbesondere Videos, Audios, PDF-Dateien, Texten und vergleichbaren Inhalten.

(3) Gegenstand der Auftragsverarbeitung sind insbesondere die vom Verantwortlichen oder seinen berechtigten Admins und Teamleitern angelegten Nutzerkonten von Mitarbeitern des Verantwortlichen. Der Verantwortliche entscheidet, welche Personen Zugang erhalten und welche Rollen ihnen zugewiesen werden.

(4) Nicht Gegenstand dieses AVV sind Verarbeitungen, bei denen der Auftragsverarbeiter selbst Verantwortlicher ist, insbesondere Vertragsverwaltung, Abrechnung, eigene Geschäftskommunikation, steuerrechtliche Aufbewahrung sowie Sicherheitsmaßnahmen, die der Auftragsverarbeiter zum Schutz seiner eigenen Systeme durchführen muss. Diese Verarbeitungen werden in der Datenschutzerklärung beschrieben.

(5) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV für Fragen der Auftragsverarbeitung vor. Für kaufmännische und leistungsbezogene Fragen bleibt der Hauptvertrag maßgeblich.

§ 2 Art, Zweck und Dauer der Verarbeitung

(1) Zweck der Verarbeitung ist die technische Bereitstellung des Wissensarchivs, die Verwaltung von Firmen-, Admin-, Teamleiter- und Mitarbeiterzugängen, die Authentifizierung, Rechteverwaltung, Sicherung der Plattform, Systemwartung, Datensicherung und Löschung.

(2) Die Verarbeitung umfasst je nach Nutzung insbesondere Erheben, Erfassen, Speichern, Ordnen, Bereitstellen, Auslesen durch berechtigte Nutzer, Einschränken, Löschen, Sichern und Wiederherstellen.

(3) Die Verarbeitung beginnt mit Einrichtung des Firmenkontos oder der erstmaligen Anlage personenbezogener Daten im Wissensarchiv und dauert während der Vertragslaufzeit sowie einer gegebenenfalls vereinbarten Rückgabe-, Sperr- oder Löschphase fort.

(4) Die Verarbeitung endet, wenn die im Auftrag verarbeiteten Produktivdaten gelöscht oder zurückgegeben wurden und reguläre Sicherungskopien nach dem Backup-Zyklus gelöscht oder überschrieben wurden, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

(5) Der Auftragsverarbeiter nutzt die im Auftrag verarbeiteten Daten nicht für eigene Werbung, Profilbildung, Adresshandel, Leistungsbewertung von Mitarbeitern oder sonstige sachfremde Zwecke.

§ 3 Kategorien personenbezogener Daten

(1) Im Rahmen des Wissensarchivs werden im Auftrag des Verantwortlichen insbesondere folgende Datenkategorien verarbeitet:

• Vorname und Nachname von Admins, Teamleitern und Mitarbeitern;
• geschäftliche E-Mail-Adressen;
• Firmenzuordnung;
• Rolle und Berechtigungsstatus, insbesondere Admin, Teamleiter oder Mitarbeiter;
• Aktivierungs-, Einladungs- und Passwort-zurücksetzen-Daten;
• Passwort-Hash, jedoch keine Klartext-Passwörter;
• technisch notwendige Sitzungs- und Sicherheitsdaten, soweit sie für Anmeldung, Session-Steuerung und Schutz der Plattform erforderlich sind.

(2) Nicht vorgesehen ist die Verarbeitung von Leistungsbewertungen, Lernfortschritten, Prüfungsdaten, personenbezogenen Zertifikatsdaten oder besonderen Kategorien personenbezogener Daten.

(3) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sowie Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO sind nicht Gegenstand des Wissensarchivs und dürfen vom Verantwortlichen nicht eingegeben werden.

§ 4 Kategorien betroffener Personen

Betroffene Personen sind insbesondere:

• geschäftliche Ansprechpartner des Verantwortlichen;
• Admins und Teamleiter des Verantwortlichen;
• Mitarbeiter oder sonstige betriebsangehörige Personen, denen der Verantwortliche Zugang zum Wissensarchiv gewährt.

§ 5 Keine Mitarbeiterüberwachung und keine Lernerfolgskontrolle

(1) Das Wissensarchiv ist nicht darauf ausgelegt, Mitarbeiter des Verantwortlichen zu überwachen.

(2) Der Auftragsverarbeiter wertet nicht aus, welche Mitarbeiter welche Inhalte ansehen, wann sie Inhalte ansehen, wie lange sie Inhalte nutzen oder ob sie bestimmte Inhalte vollständig angesehen haben.

(3) Es findet keine Lernfortschrittskontrolle, keine Prüfung, keine Bewertung, keine Korrektur von Aufgaben und keine personenbezogene Zertifizierung durch den Auftragsverarbeiter statt.

(4) Eine Protokollierung des Nutzungsverhaltens einzelner Mitarbeiter ist nicht gewollt und nach dem derzeitigen Produktkonzept nicht implementiert.

(5) Technische Sicherheitsdaten werden nur erhoben, soweit dies für den Betrieb, die Authentifizierung, die Fehlerbehebung, die Abwehr von Angriffen oder den Schutz vor Missbrauch erforderlich ist. Diese Sicherheitsmaßnahmen dienen nicht der Leistungs- oder Verhaltenskontrolle von Mitarbeitern.

§ 6 Weisungen und Pflichten des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Pflicht zu einer abweichenden Verarbeitung besteht.

(2) Dokumentierte Weisungen ergeben sich insbesondere aus dem Hauptvertrag, diesem AVV, den Einstellungen innerhalb des Firmenkontos sowie Handlungen autorisierter Admins und Teamleiter innerhalb des Wissensarchivs.

(3) Weisungsberechtigt sind die im Firmenkonto als Admin hinterlegten Personen sowie sonstige vom Verantwortlichen in Textform benannte Personen. Der Verantwortliche hält diese Angaben aktuell.

(4) Der Verantwortliche gewährleistet die Rechtmäßigkeit der Verarbeitung, insbesondere das Vorliegen einer Rechtsgrundlage für die Anlage von Mitarbeiterkonten und die Information der betroffenen Personen.

(5) Der Verantwortliche ist für die Verwaltung seiner Nutzerkonten verantwortlich. Er legt nur berechtigte Personen an, vergibt Rollen sorgfältig und entfernt Zugänge, wenn eine Person nicht mehr berechtigt ist oder nicht mehr zur Organisation gehört.

(6) Erteilt der Verantwortliche eine nach Auffassung des Auftragsverarbeiters rechtswidrige Weisung, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich. Der Auftragsverarbeiter darf die Ausführung aussetzen, soweit dies zur Vermeidung eines Datenschutzverstoßes erforderlich ist.

§ 7 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Daten nur im vereinbarten Umfang und nicht für eigene Inhaltszwecke.

(2) Der Auftragsverarbeiter stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragsverarbeiter setzt die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen um. Gleichwertige oder bessere technische Anpassungen sind zulässig, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

(4) Geht ein Antrag einer betroffenen Person unmittelbar beim Auftragsverarbeiter ein und betrifft er Daten, die im Auftrag verarbeitet werden, leitet der Auftragsverarbeiter ihn an den Verantwortlichen weiter, soweit keine gesetzliche Pflicht zur eigenen Bearbeitung besteht.

(5) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Erfüllung von Betroffenenrechten sowie bei Pflichten aus Art. 32 bis 36 DSGVO.

(6) Der Auftragsverarbeiter führt, soweit gesetzlich erforderlich, ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 8 Datenschutzverletzungen und Sicherheitsvorfälle

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die im Auftrag verarbeitete Daten betrifft.

(2) Die Meldung enthält, soweit verfügbar, Art und Zeitpunkt des Vorfalls, betroffene Systeme und Daten, mögliche Folgen, bereits getroffene Maßnahmen sowie eine Kontaktstelle für Rückfragen.

(3) Können Informationen nicht sofort vollständig bereitgestellt werden, werden sie schrittweise ohne unangemessene Verzögerung nachgereicht.

(4) Eine Meldung an Aufsichtsbehörden oder betroffene Personen erfolgt durch den Auftragsverarbeiter nur auf Weisung des Verantwortlichen oder aufgrund einer eigenen gesetzlichen Pflicht.

§ 9 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, die in Anlage 3 aufgeführten Unterauftragsverarbeiter für die dort beschriebenen Leistungen einzusetzen.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Kalendertage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform, soweit nicht ein dringender Sicherheits- oder Betriebsfall eine kürzere Frist erfordert.

(3) Der Verantwortliche kann innerhalb der Mitteilungsfrist aus einem nachvollziehbaren datenschutzrechtlichen Grund widersprechen. Die Parteien bemühen sich um eine zumutbare Lösung.

(4) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter durch Vertrag oder einen anderen bindenden Rechtsakt mindestens zu solchen Datenschutzpflichten, die den Pflichten aus diesem AVV entsprechen.

(5) Erfüllt ein Unterauftragsverarbeiter seine Datenschutzpflichten nicht, bleibt der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Erfüllung der Pflichten verantwortlich.

§ 10 Verarbeitungsorte und Drittlandübermittlungen

(1) Die Produktivdaten des Wissensarchivs werden nach der derzeitigen Konfiguration in Deutschland verarbeitet.

(2) Eine Übermittlung oder ein Zugriff aus Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur auf dokumentierte Weisung des Verantwortlichen oder wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(3) Die Produktbezeichnung "Datenschutzklasse 1" ist keine amtliche, gesetzliche oder normierte Schutzklasse und kein Zertifikat. Sie beschreibt ausschließlich den Betrieb auf gemeinsam genutzter Serverinfrastruktur mit serverseitiger logischer Trennung der Firmenkunden.

§ 11 Nachweise, Kontrollen und Audits

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung dieses AVV und der Pflichten nach Art. 28 DSGVO nachzuweisen.

(2) Der Nachweis kann vorrangig durch aktuelle TOM-Beschreibungen, Auskünfte, Dokumentationen, geeignete Nachweise und Remote-Prüfungen erfolgen.

(3) Der Verantwortliche oder ein zur Verschwiegenheit verpflichteter Prüfer darf nach angemessener Ankündigung Audits durchführen. Reguläre Vor-Ort-Prüfungen sollen mindestens 14 Kalendertage vorher angekündigt werden, während üblicher Geschäftszeiten erfolgen und den Betrieb nicht vermeidbar beeinträchtigen.

(4) Prüfungen müssen Geschäftsgeheimnisse, Sicherheitsinteressen und Rechte anderer Kunden wahren. Ein Zugriff auf Daten anderer Mandanten oder auf sicherheitskritische interne Informationen ist ausgeschlossen; gleichwertige Nachweise sind bereitzustellen.

§ 12 Rückgabe und Löschung

(1) Nach Ende der Leistungserbringung werden die im Auftrag verarbeiteten personenbezogenen Daten nach Maßgabe des Hauptvertrags gelöscht oder, soweit technisch vorgesehen, zurückgegeben.

(2) Der Verantwortliche kann Mitarbeiterzugänge während der Vertragslaufzeit selbst entfernen oder entfernen lassen. Die technische Löschung beziehungsweise Sperrung richtet sich nach dem vorgesehenen Produkt- und Löschkonzept.

(3) Nach Vertragsende werden Produktivzugriffe gesperrt und personenbezogene Produktivdaten gelöscht, soweit keine gesetzliche Pflicht oder ein zulässiger Sicherungsgrund entgegensteht.

(4) In rollierenden Sicherungskopien können gelöschte Daten bis zum turnusmäßigen Überschreiben enthalten bleiben. Diese Kopien werden nicht für den normalen Zugriff bereitgehalten und nur zur zulässigen Gesamtsystem-Wiederherstellung oder aufgrund gesetzlicher Pflichten verarbeitet.

(5) Die maximale Aufbewahrungsdauer regulärer Sicherungskopien beträgt 30 Kalendertage ab Erstellung der jeweiligen Sicherungskopie, soweit kein konkreter Sicherheitsvorfall oder gesetzlicher Aufbewahrungsgrund entgegensteht.

§ 13 Vergütung besonderer Unterstützungsleistungen

(1) Die gewöhnliche Unterstützung, die zur vertragsgemäßen Nutzung der vorhandenen Funktionen und zur Erfüllung zwingender Pflichten des Auftragsverarbeiters erforderlich ist, ist mit der vereinbarten Vergütung abgegolten.

(2) Verlangt der Verantwortliche außergewöhnliche manuelle Leistungen, individuelle Datenaufbereitung, umfangreiche Sonderprüfungen oder Unterstützung, die durch eine Pflichtverletzung oder besondere Weisung des Verantwortlichen verursacht wurde, kann der Auftragsverarbeiter nach vorheriger Information eine angemessene Vergütung verlangen.

§ 14 Haftung und Rangfolge

(1) Die gesetzliche Haftung der Parteien nach der DSGVO, insbesondere Art. 82 DSGVO, bleibt unberührt.

(2) Der Verantwortliche bleibt für die Rechtmäßigkeit seiner Weisungen und der Verarbeitung verantwortlich. Der Auftragsverarbeiter haftet im gesetzlichen Umfang für Verstöße gegen speziell an Auftragsverarbeiter gerichtete Pflichten und für Verarbeitungen außerhalb oder entgegen rechtmäßiger Weisungen.

§ 15 Vertragsform, Änderungen und Schlussbestimmungen

(1) Dieser AVV kann schriftlich oder elektronisch geschlossen werden. Eine elektronische Bestätigung ist zulässig, wenn die konkret akzeptierte Vertragsfassung, die handelnde Person und der Zeitpunkt dauerhaft nachweisbar gespeichert werden.

(2) Bei elektronischer Bestätigung können insbesondere Vertragsversion, Firmenzuordnung, Name, geschäftliche E-Mail-Adresse und Rolle der bestätigenden Person, Datum und Uhrzeit sowie für den Nachweis erforderliche technische Metadaten gespeichert werden.

(3) Änderungen dieses AVV bedürfen mindestens der Textform, soweit nicht eine strengere gesetzliche Form vorgeschrieben ist. Technische Aktualisierungen der TOMs sind zulässig, wenn das vereinbarte Schutzniveau nicht unterschritten wird.

(4) Soweit einzelne Bestimmungen dieses AVV ganz oder teilweise nicht Vertragsbestandteil geworden oder unwirksam sind, richtet sich die Rechtsfolge nach den gesetzlichen Vorschriften. Der Vertrag bleibt im Übrigen wirksam, soweit das Festhalten am Vertrag für keine Partei eine unzumutbare Härte darstellt.

---

Anlage 1 – Beschreibung der Verarbeitung

1. Leistungsbeschreibung

• Bereitstellung eines webbasierten Wissensarchivs mit Video-, Audio-, PDF-, Text- und vergleichbaren Weiterbildungsinhalten;
• Firmenkonto für den Kunden;
• rollenbasierte Nutzerverwaltung für Admins, Teamleiter und Mitarbeiter;
• Anlage und Entfernung von Mitarbeiterzugängen durch Admins oder Teamleiter des Kunden;
• Authentifizierung, Session-Steuerung, Passwortwiederherstellung und Rechteprüfung;
• Hosting, Wartung, Datensicherung und Wiederherstellung des Gesamtsystems;
• technische Sicherheitsmaßnahmen zum Schutz vor unberechtigten Zugriffen und Angriffen.

2. Nicht Gegenstand der Leistung

• keine Lernfortschrittskontrolle;
• keine Prüfung oder Bewertung von Mitarbeitern;
• keine Überwachung, welche Inhalte einzelne Mitarbeiter ansehen;
• keine personenbezogenen Nutzungsprofile;
• keine personenbezogenen Zertifikate;
• keine Verarbeitung besonderer Kategorien personenbezogener Daten.

3. Infrastrukturmodell

Das Wissensarchiv wird nach dem derzeitigen Produktkonzept in Datenschutzklasse 1 betrieben. Mehrere Firmenkunden können auf derselben Serverinfrastruktur betrieben werden. Die Trennung der Firmenkunden erfolgt logisch und serverseitig innerhalb der Anwendung und Datenbankabfragen. Datenschutzklasse 1 ist keine gesetzliche oder zertifizierte Schutzklasse.

---

Anlage 2 – Technische und organisatorische Maßnahmen (TOMs)

1. Organisation und Zugriff

• Zugriff auf produktive Systeme nur für erforderliche administrative Aufgaben;
• serverseitig geprüfte Rollen- und Berechtigungen innerhalb der Kundenumgebung;
• Admin- und Teamleiterrollen können Mitarbeiterzugänge anlegen und entfernen;
• technisch möglicher Server- oder Datenbankzugriff des Anbieters nur für Wartung, Störungsbeseitigung, Sicherheit, Wiederherstellung oder rechtliche Pflichten;
• keine routinemäßige inhaltliche Nutzung personenbezogener Mitarbeiterdaten;
• Vertraulichkeitsverpflichtung eingesetzter Personen mit Zugriff auf personenbezogene Daten.

2. Authentifizierung und Anwendungssicherheit

• Passwörter werden nicht im Klartext gespeichert, sondern als Passwort-Hash;
• Session-Regenerierung beim Login zum Schutz gegen Session-Fixation;
• technisch notwendige Session-Cookies zur Anmeldung und Sitzungssteuerung;
• temporäre Schutzmaßnahmen nach wiederholten fehlgeschlagenen Loginversuchen, soweit technisch implementiert;
• serverseitige Berechtigungsprüfungen bei sicherheitsrelevanten Funktionen;
• Schutz vor mandantenübergreifenden Zugriffen durch serverseitige Firmenzuordnung;
• Zugriffe auf die Webanwendung erfolgen über HTTPS/TLS;
• Server-Dienste und Systemkomponenten werden regelmäßig aktualisiert.

3. Mandantentrennung und Datenminimierung

• Datenschutzklasse 1: logische Mandantentrennung auf gemeinsam genutzter Serverinfrastruktur;
• Verarbeitung nur der für Firmenkonto, Rollen, Mitarbeiterzugänge, Anmeldung und Sicherheit erforderlichen Daten;
• keine Funktion zur personenbezogenen Lernfortschrittskontrolle;
• keine gewollte oder implementierte Protokollierung, welche Mitarbeiter welche Wissensinhalte ansehen;
• produktive Protokolle enthalten keine Klartextpasswörter und keine vollständigen Authentifizierungsgeheimnisse.

4. Sicherheitsprotokollierung

• Reguläre Mitarbeiterüberwachung findet nicht statt;
• keine Protokollierung des Lern- oder Nutzungsverhaltens einzelner Mitarbeiter;
• technische Sicherheitsprotokolle werden nur zum Schutz vor Angriffen, Missbrauch, Hackingversuchen, Fehlfunktionen und zur Systemsicherheit eingesetzt;
• Sicherheitsdaten können je nach technischer Situation IP-Adresse, Zeitpunkt, aufgerufene technische Ressource, Statuscode, Fehlversuche, Browser- oder Geräteinformationen und vergleichbare technische Angaben enthalten;
• IP-Adressen werden nach Möglichkeit nach 7 Kalendertagen gekürzt oder gelöscht;
• Sicherheitsprotokolle werden insgesamt höchstens 40 Kalendertage aufbewahrt, soweit kein konkreter Sicherheitsvorfall, keine Beweissicherung oder keine gesetzliche Pflicht eine längere Aufbewahrung erfordert;
• eine Identifizierung einzelner Mitarbeiter aus technischen Sicherheitsdaten ist nicht Zweck der Verarbeitung und nicht zugesichert ausgeschlossen, soweit dies technisch durch IP-Adressen, Endgeräte oder Netzwerkdaten im Einzelfall möglich wäre.

5. Verfügbarkeit, Backups und Wiederherstellung

• automatisierte Sicherung der für den Betrieb erforderlichen Daten und Systembestandteile;
• Sicherungen dienen der Wiederherstellung des Gesamtsystems und sind kein individuelles Kundenarchiv;
• Backups werden nicht für den normalen Kundenzugriff bereitgehalten;
• stündliche Sicherungen können bis zu 7 Kalendertage aufbewahrt werden;
• danach wird nur noch jeweils eine tägliche Sicherung aufbewahrt, insgesamt höchstens 30 Kalendertage ab Erstellung der jeweiligen Sicherung;
• gelöschte Daten in Backups werden durch rollierende Überschreibung innerhalb der maximalen Backupfrist entfernt;
• ein bestimmtes RPO/RTO oder eine bestimmte Wiederherstellungsdauer wird nur zugesagt, wenn dies ausdrücklich vereinbart ist.

6. Löschung und Entsorgung

• Mitarbeiterzugänge können durch berechtigte Admins oder Teamleiter entfernt werden;
• nach Vertragsende werden Produktivdaten nach dem vorgesehenen Löschkonzept gelöscht, soweit keine gesetzliche Pflicht entgegensteht;
• Sicherungskopien laufen nach dem Backup-Zyklus aus;
• bei Wiederherstellungen werden zuvor erteilte Löschweisungen erneut berücksichtigt.

7. Überprüfung und Sicherheitsvorfälle

• interner Melde- und Eskalationsweg für Sicherheitsereignisse und Datenschutzverletzungen;
• Prüfung, Bewertung und Anpassung der Maßnahmen an Risiken und technischen Fortschritt;
• Dokumentation wesentlicher Sicherheits- und Infrastrukturänderungen.

Verantwortliche Kontaktperson für Sicherheitsvorfälle ist Tobias Völzke. Als Einzelunternehmer kann er keine bestimmte Reaktionszeit garantieren; er wird sich jedoch nach Kenntniserlangung eines Vorfalls um eine so rasche wie im Einzelfall mögliche Erstbewertung und Information des Verantwortlichen bemühen.

---

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Unternehmen / Anschrift	Leistung	Daten / Zugriff	Verarbeitungsort	Drittlandbezug
netcup GmbH Emmy-Noether-Straße 10 76131 Karlsruhe	Server- und Hosting-Infrastruktur für das Wissensarchiv in Datenschutzklasse 1; Bereitstellung der technischen Infrastruktur für Anwendung, Datenbank und gegebenenfalls Systembestandteile.	Technisch möglicher Infrastrukturzugriff im Rahmen des Hostingbetriebs. Der Anbieter betreibt und administriert die Anwendung; ein infrastruktureller oder physischer Zugriff des Hosters kann im Rahmen des Betriebs nicht vollständig ausgeschlossen werden.	Deutschland	Nach derzeitiger Planung keiner
ALL-INKL.COM – Neue Medien Münnich Inhaber: René Münnich Hauptstraße 68 02742 Friedersdorf	Optionaler Ziel-Speicherort für eine zusätzliche Offsite-Sicherung, soweit diese für das Wissensarchiv eingesetzt wird. Übertragen wird nur eine bereits vor der Übertragung verschlüsselte Backup-Datei.	Technisch möglicher Zugriff auf die gespeicherte, bereits verschlüsselte Backup-Datei; kein Zugriff auf unverschlüsselte Inhalte, solange Verschlüsselung und Schlüsselverwaltung ordnungsgemäß umgesetzt bleiben.	Deutschland	Nach derzeitiger Planung keiner

Weitere Unterauftragsverarbeiter werden derzeit nicht eingesetzt. Wird künftig ein weiterer Dienstleister hinzugezogen, wird diese Liste vor dessen Einsatz entsprechend § 9 aktualisiert.