Auftragsverarbeitung

Präambel

Zwischen

der Firma, die bei Abschluss dieses Vertrages in der Software PUR als Vertragspartner angegeben wurde — nachfolgend Verantwortlicher —

und

VitalHero GmbH, Keisslergasse 18, 1140 Wien, Österreich, vertreten durch den Geschäftsführer Martin Kranawetter, Firmenbuch FN 672328v, Handelsgericht Wien — nachfolgend Auftragsverarbeiter —

wird der folgende Vertrag über die Verarbeitung personenbezogener Daten im Auftrag geschlossen. Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zwischen ihnen nach den Nutzungsbedingungen für PUR geschlossenen Nutzungsvertrag (nachfolgend Hauptvertrag). Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages vor, soweit sie die Verarbeitung personenbezogener Daten betreffen.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

1. Gegenstand der Verarbeitung ist die Bereitstellung der Software PUR als Software as a Service. PUR analysiert vom Verantwortlichen hochgeladene Vertragsdokumente, erstellt je Vertragsklausel eine Verhandlungsposition mit Textvorschlag und Verhandlungsgrenze, ermöglicht den Austausch von Vertragsfassungen mit der Gegenseite und erzeugt Exporte im Word-Format.
2. Die Verarbeitung erfolgt ausschließlich zu dem in Absatz 1 genannten Zweck und im Rahmen der Weisungen des Verantwortlichen.
3. Personenbezogene Daten werden nicht verarbeitet, um eigene Zwecke des Auftragsverarbeiters zu verfolgen. Insbesondere werden die Inhalte der hochgeladenen Dokumente nicht zum Training von Modellen verwendet (siehe § 7 Abs. 5). Ausgenommen ist allein die Anonymisierung nach Absatz 5.
4. Die Verarbeitung findet in einem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Ausnahmen regelt § 12.
5. Der Verantwortliche weist den Auftragsverarbeiter an, Daten aus der Nutzung der Software (insbesondere Entscheidungen, Bewertungen und Verhandlungsverläufe je Klauseltyp sowie Klauseltexte, aus denen Namen, Firmen, Anschriften, Beträge und sonstige identifizierende Angaben entfernt sind) so zu anonymisieren, dass weder ein Bezug zu einer natürlichen Person noch zum Verantwortlichen hergestellt werden kann. Statistische Auswertungen werden nur ab einer Mindestfallzahl gebildet, die keinen Rückschluss auf einzelne Verträge zulässt. Der Auftragsverarbeiter darf die so anonymisierten Daten zur Qualitätssicherung, Verbesserung und Weiterentwicklung der Software verwenden. Anonymisierte Daten sind keine personenbezogenen Daten; für sie gilt dieser Vertrag nach Abschluss der Anonymisierung nicht mehr.

§ 2 Dauer

Dieser Vertrag beginnt mit dem Beginn des Hauptvertrages und endet mit dessen Beendigung. Die Pflichten aus § 10 (Löschung und Rückgabe) und § 5 (Vertraulichkeit) bestehen über das Vertragsende hinaus fort.

§ 3 Art der Daten und Kategorien betroffener Personen

Art, Umfang und Kategorien ergeben sich aus Anlage 1. Der Verantwortliche bestimmt den Inhalt der hochgeladenen Dokumente allein. Der Verantwortliche verpflichtet sich, keine Daten besonderer Kategorien im Sinne des Art. 9 DSGVO und keine Daten über strafrechtliche Verurteilungen im Sinne des Art. 10 DSGVO in die Software einzustellen; die Software ist für die Verarbeitung solcher Daten nicht bestimmt.

§ 4 Weisungsrecht (Art. 28 Abs. 3 lit. a)

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Weisungen ergehen in Textform oder in einem dokumentierten elektronischen Format. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
3. Die Nutzung der Funktionen der Software durch berechtigte Nutzer des Verantwortlichen gilt als Einzelweisung im Rahmen dieses Vertrages.
4. Weisungsberechtigte Personen und Ansprechpartner benennt Anlage 4.
5. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die Datenschutz-Grundverordnung oder andere Datenschutzbestimmungen verstößt, teilt er dies dem Verantwortlichen unverzüglich mit. Er ist berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 5 Vertraulichkeit (Art. 28 Abs. 3 lit. b)

1. Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wird dokumentiert und wirkt über das Ende des jeweiligen Beschäftigungsverhältnisses hinaus.
2. Die eingesetzten Personen werden vor Aufnahme der Tätigkeit mit den für sie maßgeblichen datenschutzrechtlichen Anforderungen vertraut gemacht.
3. Der Auftragsverarbeiter stellt sicher, dass Zugriff nur auf Daten und nur im Umfang besteht, der für die jeweilige Aufgabe erforderlich ist.

§ 6 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32)

1. Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen. Sie werden unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere des Risikos festgelegt.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter ist berechtigt, sie anzupassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen auf Anfrage mit.
3. Der Auftragsverarbeiter überprüft die Wirksamkeit der Maßnahmen regelmäßig (Art. 32 Abs. 1 lit. d).

§ 7 Unterauftragsverarbeitung (Art. 28 Abs. 2 und 4, Abs. 3 lit. d)

1. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und hiermit genehmigt.
2. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage vor der Übermittlung personenbezogener Daten an diesen, in Textform oder über einen vom Verantwortlichen abonnierbaren Benachrichtigungsweg. Keiner Information bedarf der Wechsel zwischen den in Anlage 3 als Analyse-Anbieter genehmigten Unternehmen; der Auftragsverarbeiter wählt unter ihnen nach Qualität, Verfügbarkeit und Kosten, auch je Verarbeitungsschritt.
3. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen nach Zugang der Information aus einem sachlichen, datenschutzrechtlich begründeten Anlass widersprechen. Der Widerspruch ist zu begründen.
4. Widerspricht der Verantwortliche wirksam und lässt sich die Verarbeitung ohne den betreffenden Unterauftragsverarbeiter nicht mit zumutbarem Aufwand erbringen, ist jede Partei berechtigt, den betroffenen Leistungsteil mit einer Frist von 30 Tagen zu kündigen. Bereits im Voraus gezahlte Entgelte werden anteilig erstattet.
5. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten dieses Vertrages entsprechen (Art. 28 Abs. 4). Er verpflichtet insbesondere jeden Anbieter, der zur Analyse eingesetzt wird, darauf, die überlassenen Inhalte nicht zum Training oder zur Verbesserung von Modellen zu verwenden und sie nicht länger als für die Erbringung der Leistung erforderlich vorzuhalten.
6. Nicht als Unterauftragsverarbeitung im Sinne dieses Paragrafen gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt, ohne dass diese Zugriff auf Inhaltsdaten des Verantwortlichen erhalten (z. B. Telekommunikationsleistungen, Reinigung, Wartung von Endgeräten).

§ 8 Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e)

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung von Betroffenenrechten nach Art. 12 bis 22 DSGVO nachzukommen.
2. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.
3. Soweit die Software Funktionen zur Auskunft, Berichtigung, Einschränkung, Löschung oder Übertragung bereitstellt, erfüllt der Auftragsverarbeiter seine Unterstützungspflicht durch deren Bereitstellung. Darüber hinausgehender Aufwand wird nach § 14 Abs. 2 vergütet.

§ 9 Unterstützung bei Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f)

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
2. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, in Textform an die in Anlage 4 genannte Adresse. Die Meldung enthält, soweit bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen.
3. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und bei einer vorherigen Konsultation nach Art. 36 DSGVO.

§ 10 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g)

1. Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten. Auf Wunsch des Verantwortlichen, der bis spätestens 30 Tage nach Vertragsende in Textform zu erklären ist, gibt er sie stattdessen in einem gängigen, maschinenlesbaren Format zurück.
2. Die Löschung erfolgt nach Ablauf der Frist nach Absatz 1, spätestens jedoch innerhalb von 30 Tagen nach Vertragsende.
3. Daten in Sicherungskopien werden nicht gesondert gelöscht, sondern im Rahmen des regulären Sicherungszyklus überschrieben. Sicherungskopien werden längstens sieben Tage vorgehalten. Bis zum Überschreiben unterliegen sie den Maßnahmen nach Anlage 2 und werden nicht wiederhergestellt, es sei denn zur Wiederherstellung des Betriebs.
4. Protokolldaten werden automatisiert gelöscht: Betriebsprotokolle der Hosting-Plattform nach höchstens 30 Tagen, Fehlerberichte nach 90 Tagen, Aufzeichnungen einzelner Bedienschritte nach 180 Tagen. Übrige Nutzungsereignisse werden mit dem Konto gelöscht.
5. Unberührt bleibt die Aufbewahrung, soweit das Recht der Union oder der Mitgliedstaaten sie vorschreibt. Der Auftragsverarbeiter teilt dem Verantwortlichen in diesem Fall Umfang und Rechtsgrundlage mit.
6. Der Auftragsverarbeiter bestätigt die vollständige Löschung auf Verlangen in Textform unter Angabe des Datums.

§ 11 Nachweise und Kontrollrechte (Art. 28 Abs. 3 lit. h)

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind.
2. Der Nachweis kann erbracht werden durch Auskünfte, die Vorlage der Dokumentation der Maßnahmen nach Anlage 2, aktuelle Testate, Zertifizierungen oder Prüfberichte unabhängiger Stellen.
3. Genügen diese Nachweise im Einzelfall nicht, kann der Verantwortliche einmal je Kalenderjahr eine Überprüfung vor Ort durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht mit dem Auftragsverarbeiter im Wettbewerb stehenden Prüfer durchführen lassen. Die Überprüfung ist mit einer Vorlaufzeit von 30 Tagen anzukündigen, findet zu üblichen Geschäftszeiten statt und darf den Betriebsablauf nicht unverhältnismäßig stören. Anlassbezogene Überprüfungen bei einer Verletzung des Schutzes personenbezogener Daten bleiben ohne Beschränkung auf die Häufigkeit zulässig.
4. Die Kosten einer Überprüfung nach Absatz 3 trägt der Verantwortliche; der eigene Aufwand des Auftragsverarbeiters wird nach § 14 Abs. 2 vergütet. Ergibt die Überprüfung einen erheblichen Verstoß des Auftragsverarbeiters, trägt dieser die Kosten.
5. Bei Unterauftragsverarbeitern erfüllt der Auftragsverarbeiter seine Pflicht aus diesem Paragrafen, indem er dem Verantwortlichen die dort vorliegenden Testate und Prüfberichte zugänglich macht und ihm gegenüber seine vertraglichen Kontrollrechte auf dessen Verlangen und Kosten geltend macht. Ein unmittelbares Vor-Ort-Prüfrecht des Verantwortlichen bei Unterauftragsverarbeitern besteht nur, soweit diese es einräumen.

§ 12 Verarbeitung in Drittländern

1. Eine Verarbeitung personenbezogener Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur statt, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind und die betreffende Übermittlung in Anlage 3 ausgewiesen ist.
2. Der Auftragsverarbeiter stützt Übermittlungen auf einen Angemessenheitsbeschluss der Europäischen Kommission, insbesondere auf die Zertifizierung des Empfängers unter dem EU-US Data Privacy Framework, hilfsweise auf die Standardvertragsklauseln der Kommission in der jeweils geltenden Fassung (Modul 3, Auftragsverarbeiter an Auftragsverarbeiter) nebst ergänzenden Maßnahmen.
3. Der Auftragsverarbeiter dokumentiert für jede Übermittlung in ein Drittland eine Abschätzung der Rechtslage im Empfängerland (Transfer Impact Assessment) und stellt sie dem Verantwortlichen auf Anfrage zur Verfügung.

§ 13 Referenznennung

1. Der Verantwortliche gestattet dem Auftragsverarbeiter, seinen Firmennamen und sein Logo als Referenz zu nennen, etwa auf der Website, in Angeboten, Präsentationen und auf Social Media, mit dem Hinweis, dass er PUR nutzt.
2. Inhalte, Daten, Zahlen und Ergebnisse des Verantwortlichen werden nur mit gesonderter Zustimmung in Textform veröffentlicht.
3. Der Verantwortliche kann die Gestattung jederzeit in Textform für die Zukunft widerrufen. Digitale Veröffentlichungen entfernt der Auftragsverarbeiter binnen 14 Tagen; bereits versandte Unterlagen müssen nicht zurückgerufen werden.
4. Die Gestattung erfolgt unentgeltlich.

§ 14 Haftung, Vergütung, Schlussbestimmungen

1. Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach den Regelungen des Hauptvertrages.
2. Leistungen, die über die vertraglich geschuldete Standardfunktionalität hinausgehen — insbesondere Unterstützung nach § 8 Abs. 3, Überprüfungen nach § 11 Abs. 3 und Wiederherstellungen auf Anforderung —, vergütet der Verantwortliche nach dem jeweils gültigen Stundensatz des Auftragsverarbeiters.
3. Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungen nach Art. 30 Abs. 2 DSGVO.
4. Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform (Art. 28 Abs. 9 DSGVO).
5. Ein Zurückbehaltungsrecht an den verarbeiteten Daten nach § 273 BGB ist ausgeschlossen.
6. Sollte eine Bestimmung dieses Vertrages unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
7. Es gilt österreichisches Recht unter Ausschluss seiner Verweisungsnormen und des UN-Kaufrechts. Ausschließlicher Gerichtsstand ist das für Wien sachlich zuständige Gericht, soweit gesetzlich zulässig.

Anlage 1 — Beschreibung der Verarbeitung

Gegenstand: Bereitstellung der Software PUR zur Vorbereitung und Durchführung von Vertragsverhandlungen im Einkauf.

Art der Verarbeitung: Erheben, Speichern, Auslesen, Verwenden, maschinelle Analyse, Bereitstellen, Übermitteln an vom Verantwortlichen bestimmte Empfänger, Löschen.

Zweck: Analyse hochgeladener Vertragsdokumente je Klausel, Erstellung von Verhandlungspositionen, Textvorschlägen und Verhandlungsgrenzen, Austausch von Vertragsfassungen mit der Gegenseite, Export im Word-Format, Betrieb der Nutzerkonten.

Kategorien betroffener Personen

Kategorien personenbezogener Daten

Besondere Kategorien: keine. Der Verantwortliche ist nach § 3 verpflichtet, keine Daten nach Art. 9 und 10 DSGVO einzustellen.

Dauer: für die Laufzeit des Hauptvertrages, danach nach § 10.

Automatisierte Entscheidungsfindung: Die Analyseergebnisse sind Vorschläge zur Entscheidungsvorbereitung. Eine automatisierte Entscheidung im Einzelfall mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO findet nicht statt; die Entscheidung trifft stets ein Mensch beim Verantwortlichen.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Diese Anlage nennt ausschließlich Maßnahmen, die tatsächlich umgesetzt sind.

1. Vertraulichkeit

Zutrittskontrolle. Es werden keine eigenen Server betrieben. Der physische Zutritt liegt bei den Rechenzentrumsbetreibern der Unterauftragsverarbeiter (Amazon Web Services, Region eu-central-1 Frankfurt für die Datenhaltung) und ist über deren Zertifizierungen nachgewiesen.

Zugangskontrolle. Nutzer melden sich über Supabase Auth mit Passwort und E-Mail-Bestätigung an. Passwörter werden nicht im Klartext gespeichert. Anwendungszugänge sind an bestätigte Adressen gebunden; die Adressprüfung auf der Registrierseite ist auf 60 Anfragen je Herkunft und zehn Minuten begrenzt, die Herkunft wird nur als Hashwert gespeichert. Daneben gibt es Zugänge ohne Konto über persönliche Einladungslinks: für Gäste der Gegenseite (gültig 30 Tage) sowie für Einladungen in die Organisation und zur Mitarbeit an einem Vertrag (gültig 14 Tage). Gespeichert wird nur der Hashwert des Links; jeder Aufruf wird einzeln geprüft. Administrative Zugänge zu Vercel, Supabase, Anthropic und Resend sind auf den Kreis der Gesellschafter beschränkt.

Zugriffskontrolle. In der Datenbank ist Row Level Security auf jeder Tabelle aktiviert; die Rolle anon hält auf keiner Tabelle ein Recht, was ein automatisierter Test dauerhaft festhält. Rollen in der Anwendung: in der Organisation *Inhaber*, *Admin* und *Mitglied*; Mitglieder sehen die Verträge, an denen sie einen Platz haben, Inhaber und Admins alle Verträge ihrer Organisation. Am einzelnen Vertrag gibt es Plätze für Einkauf, Recht, Fachabteilung und Finanzen. Gäste der Gegenseite sehen nur die Stände, die ihnen ausdrücklich übergeben wurden, und nie die interne Analyse. Analyseinhalte liegen in einem eigenen Schema, das über die öffentliche Programmierschnittstelle nicht erreichbar ist. Der Betreiber-Administrationsbereich zeigt Kennzahlen und Kosten, keine Vertragsinhalte. Der serverseitige Service-Role-Schlüssel ist in den Vercel-Projekteinstellungen als *sensitive* hinterlegt und gelangt nie in den Browser; er ist außerdem als Geheimnis in GitHub Actions hinterlegt, wo zeitgesteuerte Betriebsaufgaben (Aufräumen, Kennzahlen, Betriebsüberwachung) mit ihm laufen.

Trennungskontrolle. Mandantentrennung auf Datenbankebene über Row Level Security. Entwicklung und automatisierte Tests laufen gegen eine lokale, je Lauf neu aufgebaute Datenbank und berühren keine Kundendaten. Produktion und Vorschau-Deployments teilen sich derzeit eine Datenbank; Vorschau-Deployments sind durch eine Anmeldung beim Hosting-Anbieter geschützt und nur den Beschäftigten des Auftragsverarbeiters zugänglich. Die Freigabe, die früher Teile der Anwendung ohne Anmeldung ausgeliefert hat, ist ersatzlos entfernt und wird durch zwei automatisierte Tests dauerhaft ausgeschlossen.

Ablage der Analyse. Zwischen- und Endstände eines Analyselaufs einschließlich der Antworten des Analysemodells werden in der Datenbank gespeichert, in einem eigenen Schema ohne Zugang über die öffentliche Programmierschnittstelle. Sie hängen am Vertrag und werden mit ihm gelöscht. Anonyme Vorschau-Uploads ohne Konto werden nach 24 Stunden gelöscht.

2. Integrität

Weitergabekontrolle. Übertragung ausschließlich über TLS. Die Anwendung setzt Strict-Transport-Security: max-age=63072000; includeSubDomains, eine Content-Security-Policy mit frame-ancestors 'none', base-uri 'self', form-action 'self' und object-src 'none', dazu X-Frame-Options: DENY, X-Content-Type-Options: nosniff, Referrer-Policy: strict-origin-when-cross-origin, Cross-Origin-Opener-Policy: same-origin sowie eine Permissions-Policy, die Kamera, Mikrofon, Standort, Zahlungsschnittstellen und USB abschaltet. Es werden keine Analysedienste Dritter und keine Schriften fremder Server zur Laufzeit geladen. Fehlerberichte gehen ohne Formularinhalte, Anfrageparameter und Nutzerkennungen an den Dienstleister für Fehlerüberwachung (Anlage 3). Zur Bezahlung wird auf die Seite des Zahlungsdienstleisters weitergeleitet.

Verschlüsselung im Ruhezustand. Verschlüsselung der Datenbank- und Speichervolumina durch den Plattformbetreiber (AWS, AES-256) über Supabase.

Eingabekontrolle. Änderungen an Klauseln, Fassungen und Entscheidungen werden mit Urheber und Zeitstempel protokolliert und sind je Klausel nachvollziehbar. Plattform- und Anwendungsprotokolle werden über Vercel geführt.

3. Verfügbarkeit und Belastbarkeit

Betrieb auf einer verwalteten Plattform mit redundanter Infrastruktur. Datenbanksicherungen durch Supabase: täglich eine vollständige physische Sicherung in derselben Region (Frankfurt am Main), aufbewahrt sieben Tage. Eine Wiederherstellung auf einen beliebigen Zeitpunkt (PITR) ist nicht gebucht.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d)

Automatisierte Test-Suiten laufen vor jeder Veröffentlichung, darunter Tests, die sicherheitsrelevante Zusagen dauerhaft festhalten (kein Zugang ohne Anmeldung, kein Klartext-Geheimnis im Auslieferungsstand). Abhängigkeiten werden bewusst minimal gehalten.

Anlage 3 — Unterauftragsverarbeiter

Stand: 14.10.2026.

Anlage 4 — Ansprechpartner und Weisungsberechtigte