Vereinbarung gem. Art. 28 DSGVO über die Auftragsverarbeitung personenbezogener Daten

Stand: 14. September 2026. Auftragnehmer: Carbacan GmbH, Reuterweg 14, 61267 Neu-Anspach.

zwischen

dem Kunden des Dienstes sphyr (Firma, Anschrift und Vertretung gemäß den Angaben im Online-Bestellprozess; nachfolgend: Auftraggeber)

und der

Carbacan GmbH, ges. vertr. d. d. Geschäftsführer Björn Bock, Reuterweg 14, 61267 Neu-Anspach (nachfolgend: Auftragnehmer)

(„Auftraggeber" und „Auftragnehmer" nachfolgend gemeinsam: „Parteien")

Einbeziehung

Diese Vereinbarung wird im Online-Bestellprozess auf sphyr.de durch ausdrückliche Bestätigung des Auftraggebers elektronisch angenommen und ist Bestandteil des Vertrags über die Nutzung der Software sphyr nach den Allgemeinen Geschäftsbedingungen des Auftragnehmers (nachfolgend: Hauptvertrag). Einer gesonderten Unterschrift bedarf es nicht. Der Auftragnehmer stellt dem Auftraggeber die jeweils gültige Fassung dieser Vereinbarung dauerhaft in Textform zur Verfügung.

§ 1 Präambel

Gegenstand und Dauer des Auftrags bestimmen sich nach dem Hauptvertrag und den Anlagen dieser Vereinbarung. Der Auftragnehmer erhält im Rahmen der Bereitstellung und des Betriebs der Software Zugriff auf personenbezogene Daten, für die der Auftraggeber Verantwortlicher im Sinne der DSGVO ist. Mit dieser Vereinbarung werden die damit verbundenen datenschutzrechtlichen Pflichten konkret geregelt.

§ 2 Umfang, Art und Zweck der Beauftragung

a) Die Regelungen dieser Vereinbarung gelten für jede Verarbeitung personenbezogener Daten, die der Auftragnehmer im Rahmen der Bereitstellung, des Betriebs, der Sicherung, der Wartung und des Supports der dem Auftraggeber zugewiesenen sphyr-Instanz vornimmt. Der Auftraggeber bleibt Verantwortlicher im datenschutzrechtlichen Sinne.

b) Art, Umfang und Zweck der Verarbeitung, die Kategorien der Daten und der betroffenen Personen ergeben sich aus Anlage 3. Die Verarbeitung dient ausschließlich der Erbringung der im Hauptvertrag vereinbarten Leistungen. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags zuzüglich der in § 12 geregelten Rückgabe- und Löschfristen.

c) Dem Auftragnehmer bleibt es vorbehalten, Daten zu anonymisieren oder so zu aggregieren, dass eine Identifizierung einzelner betroffener Personen nicht mehr möglich ist, und sie in dieser Form zur bedarfsgerechten Gestaltung, Weiterentwicklung und Optimierung des Dienstes zu verwenden. Anonymisierte bzw. aggregierte Daten sind keine personenbezogenen Daten im Sinne dieser Vereinbarung. Eine Nutzung von Inhaltsdaten des Auftraggebers zum Training von KI-Modellen erfolgt nicht.

d) Die Verarbeitung durch den Auftragnehmer findet in Rechenzentren in der Bundesrepublik Deutschland statt (Anlage 1, Ziffer A). Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums durch den Auftragnehmer selbst erfolgt nicht. Für Drittlandbezüge einzelner Unterauftragnehmer gilt Anlage 2; für vom Auftraggeber selbst gewählte KI-Anbieter gilt § 8.

§ 3 Weisungsbefugnisse des Auftraggebers

a) Der Auftragnehmer verarbeitet die Daten ausschließlich entsprechend den Weisungen des Auftraggebers, sofern er nicht gesetzlich zu einer anderweitigen Verarbeitung verpflichtet ist. In letzterem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Gesetz eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

b) Die Weisungen des Auftraggebers sind abschließend in dieser Vereinbarung und im Hauptvertrag festgelegt. Die Nutzung der Funktionen des Dienstes durch den Auftraggeber und die von ihm angelegten Nutzer gilt als Weisung (z. B. das Hochladen eines Dokuments, das Anlegen eines Kontakts, das Aktivieren einer Schnittstelle). Darüber hinausgehende Einzelweisungen bedürfen der Textform, bedürfen der vorherigen Zustimmung des Auftragnehmers und können, soweit sie Mehraufwand verursachen, nach Maßgabe des Hauptvertrags vergütungspflichtig sein.

c) Hält der Auftragnehmer eine Weisung für unklar oder für einen Verstoß gegen diese Vereinbarung oder das Datenschutzrecht, weist er den Auftraggeber unverzüglich in Textform darauf hin und ist berechtigt, die Ausführung bis zu einer Bestätigung durch den Auftraggeber auszusetzen. Die alleinige Verantwortung für die weisungsgemäße Verarbeitung liegt beim Auftraggeber.

§ 4 Verantwortlichkeit des Auftraggebers

a) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der Betroffenen allein verantwortlich. Machen Dritte gegen den Auftragnehmer Ansprüche aufgrund einer Verarbeitung nach Maßgabe dieser Vereinbarung geltend, stellt der Auftraggeber den Auftragnehmer von diesen Ansprüchen auf erstes Anfordern frei.

b) Dem Auftraggeber obliegt die Verantwortung für die Qualität und Rechtmäßigkeit der in seiner Instanz verarbeiteten Daten, einschließlich der von ihm oder seinen Nutzern hochgeladenen Dokumente und importierten Daten. Er stellt insbesondere sicher, dass für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), die in Dokumenten enthalten sein können (z. B. Krankmeldungen im Personalmodul), eine Rechtsgrundlage besteht.

c) Der Auftraggeber stellt dem Auftragnehmer auf Anforderung die in Art. 30 Abs. 2 DSGVO genannten Angaben zur Verfügung, soweit sie dem Auftragnehmer nicht selbst vorliegen.

d) Der Auftraggeber verwaltet die Nutzerkonten seiner Instanz und deren Berechtigungen eigenverantwortlich. Er sorgt für die Vertraulichkeit der Zugangsdaten seiner Nutzer und aktiviert die vom Dienst angebotenen Schutzmechanismen (insbesondere die Zwei-Faktor-Authentifizierung) nach seinem Schutzbedarf.

§ 5 Anforderungen an Personal

Zur Erfüllung seiner Verpflichtungen setzt der Auftragnehmer ausschließlich Personen ein, die sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Dies gilt auch für freie Mitarbeiter und für den Einsatz automatisierter Entwicklungs- und Betriebswerkzeuge, soweit diese Zugriff auf Daten des Auftraggebers erhalten.

§ 6 Sicherheit der Verarbeitung (technische und organisatorische Maßnahmen)

a) Der Auftragnehmer trifft gemäß Art. 32 DSGVO die erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

b) Die aktuellen Maßnahmen sind in Anlage 1 dargestellt. Anlage 1 unterscheidet zwischen umgesetzten Maßnahmen und Maßnahmen, deren Einführung geplant ist; zugesagt werden nur die als umgesetzt gekennzeichneten Maßnahmen.

c) Der Auftragnehmer darf die Maßnahmen während der Vertragslaufzeit ändern oder anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden in Anlage 1 dokumentiert und dem Auftraggeber in Textform zugänglich gemacht.

§ 7 Einschaltung von Unterauftragnehmern

a) Der Auftraggeber erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage 2 genannten Unterauftragnehmer. Unterauftragnehmer im Sinne dieser Vereinbarung sind nur solche Dienstleister, deren Leistung in direktem Zusammenhang mit der Erbringung der Hauptleistung steht; Nebenleistungen wie Telekommunikation, Post oder Reinigung fallen nicht darunter.

b) Beabsichtigt der Auftragnehmer die Hinzuziehung oder Ersetzung eines Unterauftragnehmers, informiert er den Auftraggeber vorab in Textform (E-Mail an die hinterlegte Administrator-Adresse genügt). Der Auftraggeber kann innerhalb von 30 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann der Auftragnehmer im Fall eines berechtigten Widerspruchs keine zumutbare Alternative bereitstellen, steht beiden Parteien ein außerordentliches Kündigungsrecht hinsichtlich des Hauptvertrags zu.

c) Der Auftragnehmer beauftragt Unterauftragnehmer nur, wenn diese die Voraussetzungen des Art. 28 DSGVO erfüllen, und verpflichtet sie vertraglich im Wesentlichen auf dieselben Datenschutzpflichten, die in dieser Vereinbarung festgelegt sind (Art. 28 Abs. 4 DSGVO). Bei Unterauftragnehmern mit Drittlandbezug stellt er die Voraussetzungen der Art. 44 ff. DSGVO sicher; die jeweilige Rechtsgrundlage ist in Anlage 2 angegeben.

§ 8 Vom Auftraggeber gewählte KI-Anbieter

a) Die KI-Funktionen des Dienstes werden standardmäßig mit einem vom Auftragnehmer selbst betriebenen Sprachmodell auf eigener Infrastruktur in Deutschland ausgeführt (Anlage 1, Ziffer A). In diesem Fall ist kein Dritter an der Verarbeitung beteiligt.

b) Der Auftraggeber kann für seine Instanz oder für einzelne Nutzer stattdessen einen externen KI-Anbieter seiner Wahl konfigurieren und hierfür einen eigenen, von ihm beim Anbieter beschafften API-Schlüssel hinterlegen. Diese Konfiguration ist eine Weisung des Auftraggebers im Sinne von § 3. Der Auftragnehmer übermittelt in diesem Fall die vom Auftraggeber zur Verarbeitung bestimmten Inhalte im Auftrag des Auftraggebers an den gewählten Anbieter.

c) Der so gewählte KI-Anbieter ist kein Unterauftragnehmer des Auftragnehmers. Der Auftraggeber ist dafür verantwortlich, mit dem gewählten Anbieter die erforderlichen datenschutzrechtlichen Vereinbarungen zu treffen (insbesondere einen eigenen Auftragsverarbeitungsvertrag) und, soweit der Anbieter Daten außerhalb des EWR verarbeitet, die Voraussetzungen der Art. 44 ff. DSGVO sicherzustellen. Der Auftragnehmer weist bei der Konfiguration auf diese Verantwortung hin und speichert den hinterlegten API-Schlüssel verschlüsselt.

d) Richtet der Auftragnehmer auf ausdrücklichen Wunsch des Auftraggebers einen externen KI-Anbieter mit einem vom Auftragnehmer beschafften Schlüssel ein, ist dieser Anbieter Unterauftragnehmer im Sinne von § 7; die Einrichtung setzt die vorherige Zustimmung des Auftraggebers in Textform voraus und wird für dessen Instanz in Anlage 2 dokumentiert.

§ 9 Rechte der Betroffenen

a) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren mit technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen. Der Dienst stellt dem Auftraggeber hierfür Such-, Export-, Korrektur- und Löschfunktionen in seiner Instanz zur Verfügung.

b) Macht eine betroffene Person Rechte unmittelbar gegenüber dem Auftragnehmer geltend, leitet der Auftragnehmer das Ersuchen zeitnah an den Auftraggeber weiter und beantwortet es nicht selbst.

c) Soweit der Auftraggeber die Berichtigung, Löschung, Einschränkung oder Übertragung von Daten nicht selbst über die Funktionen des Dienstes vornehmen kann, nimmt der Auftragnehmer sie auf Weisung im Rahmen des Zumutbaren und Erforderlichen gegen Erstattung der nachzuweisenden Aufwände vor.

§ 10 Mitteilungs- und Unterstützungspflichten des Auftragnehmers

a) Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die den Verantwortungsbereich des Auftraggebers betrifft, und stellt die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen bereit, soweit sie ihm vorliegen. Die Mitteilung erfolgt an die im Dienst hinterlegte Administrator-Adresse des Auftraggebers.

b) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren und Erforderlichen gegen Erstattung der nachzuweisenden Aufwände bei etwaigen Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde (Art. 35, 36 DSGVO).

c) Der Auftragnehmer benennt dem Auftraggeber auf Anfrage einen Ansprechpartner für Datenschutzfragen.

§ 11 Nachweise und Überprüfungen

a) Der Auftragnehmer stellt dem Auftraggeber auf Anforderung alle erforderlichen und bei ihm vorhandenen Informationen zum Nachweis der Einhaltung seiner Pflichten aus dieser Vereinbarung zur Verfügung.

b) Der Nachweis wird vorrangig durch Selbstauskünfte, die Vorlage aktueller Testate, Berichte oder Zertifizierungen einer unabhängigen Instanz (z. B. Wirtschaftsprüfer, Datenschutzauditor, Zertifizierung nach BSI-Grundschutz oder ISO 27001) oder durch die Nachweise des Rechenzentrumsbetreibers erbracht, soweit diese dem Auftraggeber in angemessener Weise ermöglichen, sich von der Einhaltung der Vertragspflichten zu überzeugen.

c) Eine Überprüfung vor Ort durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer ist nur zulässig, wenn ein konkreter Anlass besteht oder eine Aufsichtsbehörde sie verlangt, und nur nach Anmeldung mit angemessener Vorlaufzeit (in der Regel mindestens zwei Wochen), zu den üblichen Geschäftszeiten, ohne Störung des Betriebs und unter strikter Wahrung der Vertraulichkeit der Daten anderer Kunden. Zugang zu Daten anderer Kunden des Auftragnehmers wird nicht gewährt. Der Auftraggeber trägt die Kosten der Überprüfung; er darf keinen Wettbewerber des Auftragnehmers mit ihr beauftragen.

§ 12 Rückgabe und Löschung nach Vertragsende

a) Nach Beendigung des Hauptvertrags stellt der Auftragnehmer dem Auftraggeber für 30 Tage die Möglichkeit bereit, die in seiner Instanz gespeicherten Daten in den in der Anlage zu den AGB (Anlage X „Datenexport") genannten Formaten zu exportieren. Die Regelungen des Hauptvertrags zum Anbieterwechsel und zur Datenportabilität gehen vor, soweit sie längere Fristen vorsehen.

b) Nach Ablauf der Exportfrist löscht der Auftragnehmer die Instanz des Auftraggebers einschließlich aller Datenbanken und Objektspeicher, sofern keine gesetzliche Aufbewahrungspflicht des Auftragnehmers besteht. Auf Wunsch bestätigt er die Löschung in Textform.

c) Sicherungskopien werden nicht aktiv verarbeitet und nach dem in Anlage 1, Ziffer C, beschriebenen Aufbewahrungsschema überschrieben. Nach diesem Schema können Daten des Auftraggebers in Sicherungskopien für bis zu zwölf Monate nach der Löschung der Instanz enthalten sein. Ein Zugriff erfolgt in diesem Zeitraum ausschließlich zu Zwecken der Wiederherstellung und wird mit einer vorherigen Löschung der Daten des Auftraggebers verbunden.

d) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung dienen, dürfen vom Auftragnehmer entsprechend den gesetzlichen Aufbewahrungsfristen auch nach Vertragsende aufbewahrt werden.

§ 13 Vertragsdauer und Kündigung

Die Laufzeit und Kündigung dieser Vereinbarung richten sich nach dem Hauptvertrag. Eine Kündigung des Hauptvertrags bewirkt automatisch auch die Beendigung dieser Vereinbarung. Eine isolierte Kündigung dieser Vereinbarung ist ausgeschlossen. Die Pflichten aus § 12 gelten über das Vertragsende hinaus.

§ 14 Haftung

a) Erleidet eine Person im Zusammenhang mit der vorliegenden Auftragsdurchführung einen materiellen oder immateriellen Schaden, richtet sich die Haftung der Parteien im Innenverhältnis nach dem jeweiligen Anteil und der jeweiligen Verantwortung (Art. 82 Abs. 5 DSGVO). Wird eine Partei ganz oder überwiegend auf Schadensersatz in Anspruch genommen, kann sie von der anderen Freistellung oder Schadloshaltung verlangen, soweit dies deren Anteil an der Verantwortung entspricht.

b) Soweit Dritte Ansprüche gegen den Auftragnehmer geltend machen, die ihre Ursache in einem schuldhaften Verstoß des Auftraggebers gegen diese Vereinbarung oder gegen seine Pflichten als Verantwortlicher haben, stellt der Auftraggeber den Auftragnehmer auf erstes Anfordern frei.

c) Der Auftragnehmer ist berechtigt, zum Zweck der eigenen Enthaftung gemäß Art. 82 Abs. 3 DSGVO Weisungen des Auftraggebers und Einzelheiten der Verarbeitung offenzulegen.

d) Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.

§ 15 Schlussbestimmungen

a) Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, bleiben die übrigen Bestimmungen unberührt. Die Parteien treffen anstelle der unwirksamen Regelung eine solche, die dem Zweck der unwirksamen Regelung am nächsten kommt und den Anforderungen des Art. 28 DSGVO genügt.

b) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieser Vereinbarung vor.

c) Es gilt deutsches Recht. Gerichtsstand ist der im Hauptvertrag vereinbarte Gerichtsstand.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 11. September 2026, am laufenden System nachgemessen. Kennzeichnung: [umgesetzt] = in Betrieb und zugesagt · [geplant] = in Planung, nicht zugesagt · [Betreiber] = Maßnahme des Rechenzentrumsbetreibers.

A. Betriebsumgebung und Standorte

Alle Rechenzentren der Hetzner Online GmbH sind nach ISO/IEC 27001 zertifiziert. [Betreiber]

B. Vertraulichkeit

Zutrittskontrolle [Betreiber]: Zutritt zu den Rechenzentren ausschließlich für autorisiertes Personal des Betreibers (Zutrittskontrollsysteme, Videoüberwachung, Protokollierung). Der Auftragnehmer selbst hat keinen physischen Zutritt und benötigt ihn nicht.

Zugangskontrolle — Systeme [umgesetzt]:

• Administrativer Zugriff ausschließlich über SSH mit Public-Key-Authentifizierung; personengebundene Schlüssel; auf dem Anwendungsserver ist die Passwort-Anmeldung deaktiviert und die direkte Root-Anmeldung mit Passwort unterbunden.
• Host-Firewall (nur Ports 22/80/443 sowie das private Verbundnetz geöffnet); automatische Sperrung von Adressen nach fehlgeschlagenen Anmeldeversuchen (Fail2Ban); automatische Installation von Sicherheitsaktualisierungen des Betriebssystems.
• [geplant] Vereinheitlichung der SSH-Härtung auf allen Servern (Deaktivierung der Passwort-Anmeldung auch auf der Steuerungsebene).

Zugangskontrolle — Anwendung [umgesetzt]:

• Individuelle Benutzerkonten je Nutzer; Passwörter werden ausschließlich als bcrypt-Hash gespeichert.
• Sitzungen über signierte, zeitlich begrenzte Token; Signaturschlüssel je Kundeninstanz getrennt.
• Zwei-Faktor-Authentifizierung für Benutzerkonten verfügbar; Aktivierung durch den Auftraggeber.
• Begrenzung der Anmeldeversuche je Herkunftsadresse.

Zugriffskontrolle [umgesetzt]: Rollen- und Berechtigungskonzept in der Anwendung (Gruppen, modulbezogene Rechte, Ordner- und Dokumentberechtigungen im DMS); administrative Funktionen nur für Administratoren des Auftraggebers. Fachliche Änderungen werden in den Modulen protokolliert (z. B. Dokumentfreigaben, Ticketverlauf, Kassenbuch mit Änderungsschutz). [geplant] Zentrales, mandantenübergreifendes Administrations-Protokoll der Steuerungsebene.

Mandantentrennung [umgesetzt]: Jeder Kunde erhält eine eigene Instanz mit eigenem Anwendungs-Stapel (Container je Dienst), eigener Datenbankrolle und eigenen Datenbanken, eigenen Objektspeicher-Bereichen (Buckets) sowie eigenen kryptographischen Geheimnissen (Token-Signatur, Mail-Verschlüsselung, KI-Zugangsschlüssel). Ein gemeinsamer Datenbestand zwischen Kunden besteht nicht.

Schutz hinterlegter Zugangsdaten [umgesetzt]: Vom Auftraggeber hinterlegte API-Schlüssel externer KI-Anbieter sowie Zugangsdaten zu E-Mail-Postfächern werden mit AES-256 verschlüsselt gespeichert.

Trennungskontrolle [umgesetzt]: Produktivumgebung und Test-/Entwicklungsumgebungen sind getrennt; Kundendaten werden nicht in Test- oder Entwicklungsumgebungen verwendet.

C. Integrität

Verschlüsselung bei der Übertragung [umgesetzt]: Sämtliche externen Verbindungen ausschließlich über TLS (Protokoll TLS 1.3, Zertifikate von Let's Encrypt mit automatischer Erneuerung). Interner Verkehr zwischen den Servern über ein privates Verbundnetz des Betreibers. [geplant] Ergänzende HTTP-Sicherheitskopfzeilen (u. a. HSTS).

Verschlüsselung im Ruhezustand:

• [umgesetzt] Sicherungskopien werden clientseitig verschlüsselt (restic, AES-256) abgelegt; der Schlüssel liegt ausschließlich beim Auftragnehmer.
• [umgesetzt] Hinterlegte Zugangsdaten (siehe B) verschlüsselt.
• [geplant] Verschlüsselung der Dokumentablage im Objektspeicher und der Datenträger der Produktivserver. Diese Maßnahme ist derzeit nicht in Betrieb und wird nicht zugesagt.

Eingabekontrolle [umgesetzt]: Versionierung von Dokumenten; revisionssichere Archivfunktionen; Änderungsschutz im Kassenbuch (Storno statt Löschung, Abschluss mit Prüfsumme); Protokollierung ändernder Zugriffe in den Modulen.

Weitergabekontrolle [umgesetzt]: Freigabe-Links mit Ablaufdatum, Abrufbegrenzung und optionalem Passwort; Protokollierung der Abrufe.

Schadsoftware: [geplant] Prüfung hochgeladener Dateien auf Schadsoftware; ein Virenscanner ist installiert, aber noch nicht in die Dokumentverarbeitung eingebunden. Nicht zugesagt.

D. Verfügbarkeit und Belastbarkeit

Datensicherung [umgesetzt]:

• Täglich automatisierte Sicherung: vollständige Dumps aller Kundendatenbanken und der Datenbank der Steuerungsebene sowie des Objektspeichers und der Konfiguration.
• Ablage in einem vom Produktivsystem getrennten Speicher (Hetzner Storage Box, Falkenstein, Deutschland), clientseitig verschlüsselt.
• Aufbewahrungsschema: 7 tägliche, 4 wöchentliche und 12 monatliche Sicherungsstände; ältere Stände werden automatisch entfernt. Daraus folgt eine maximale Vorhaltezeit von rund zwölf Monaten (vgl. § 12 c).
• Automatische Benachrichtigung des Auftragnehmers bei Fehlschlagen einer Sicherung.
• Die Wiederherstellbarkeit wurde bei Einrichtung des Verfahrens getestet. [geplant] Turnusmäßige Wiederherstellungstests.

Infrastruktur [Betreiber]: Redundante Stromversorgung, Klimatisierung und Netzanbindung der Rechenzentren.

Überwachung: [geplant] Technisches Monitoring der Verfügbarkeit mit Aufzeichnung; derzeit besteht keine Aufzeichnung, aus der sich die Verfügbarkeit belegen ließe. Verfügbarkeitszusagen ergeben sich ausschließlich aus dem Hauptvertrag.

Wiederherstellbarkeit [umgesetzt]: Dokumentierte Verfahren (Runbooks) für die Bereitstellung, Wiederherstellung und Rücknahme von Instanzen; Änderungen an Produktivsystemen werden mit vorbereitetem Rückweg durchgeführt.

E. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Auftragskontrolle [umgesetzt]: Diese Vereinbarung; Weisungsbindung; sorgfältige Auswahl und vertragliche Verpflichtung der Unterauftragnehmer (Anlage 2).
• Sicherheitsprüfungen [umgesetzt]: Automatisierte Prüfung der Software-Abhängigkeiten auf bekannte Schwachstellen in der Build-Pipeline; regelmäßige interne Sicherheitsüberprüfungen mit Ticket-Nachverfolgung.
• Vorfallbehandlung [umgesetzt]: Definiertes Vorgehen bei Sicherheitsvorfällen (Eindämmung, Analyse, Rückweg, Benachrichtigung nach § 10).
• Datenschutz-Management [geplant]: Turnusmäßige Überprüfung dieser Anlage (mindestens jährlich) und Dokumentation der Änderungen.

Anlage 2 — Unterauftragnehmer

2.1 Allgemein genehmigte Unterauftragnehmer (für alle Kunden)

2.2 Nur bei Aktivierung durch den Auftraggeber

2.3 Vom Auftraggeber gewählte KI-Anbieter

Vom Auftraggeber gemäß § 8 b) selbst konfigurierte KI-Anbieter sind keine Unterauftragnehmer des Auftragnehmers und werden hier nicht geführt. Richtet der Auftragnehmer auf Wunsch eines Auftraggebers einen externen KI-Anbieter mit eigenem Schlüssel ein (§ 8 d), wird dies für die betreffende Instanz gesondert dokumentiert; in Betracht kommen derzeit die vom Dienst unterstützten Anbieter (u. a. Anthropic, OpenAI, Google, Mistral, xAI, DeepSeek sowie selbst betriebene Modelle), jeweils mit dem für den Anbieter geltenden Drittlandbezug.

2.4 Eigene Systeme des Auftragnehmers (keine Unterauftragnehmer)

Zur Transparenz: Transaktions-E-Mails (Willkommensnachrichten, Sicherheitshinweise) werden über einen vom Auftragnehmer selbst betriebenen Mailserver (mail.carbacan.de, Standort Frankfurt am Main) versendet; das KI-Standardmodell und die Texterkennung laufen auf eigener Infrastruktur (Anlage 1, Ziffer A).

Anlage 3 — Beschreibung der Verarbeitung

3.1 Zweck und Art der Verarbeitung

Bereitstellung und Betrieb einer mandantengetrennten Instanz der Business-Software sphyr für den Auftraggeber; Speicherung, Organisation, Anzeige, Suche, Übermittlung an vom Auftraggeber bestimmte Empfänger, Sicherung, Wiederherstellung, Einschränkung und Löschung der vom Auftraggeber und seinen Nutzern eingegebenen oder importierten Daten; Support und Wartung.

3.2 Datenkategorien nach Modul (soweit vom Auftraggeber gebucht und genutzt)

3.3 Kategorien betroffener Personen

Beschäftigte, Bewerber und freie Mitarbeiter des Auftraggebers; Kunden, Interessenten und Geschäftspartner des Auftraggebers und deren Ansprechpartner; Lieferanten und Dienstleister; sonstige Personen, deren Daten der Auftraggeber in seiner Instanz speichert oder deren Daten in hochgeladenen Dokumenten enthalten sind.

3.4 Besondere Kategorien (Art. 9 DSGVO)

Nicht Gegenstand des Auftrags; können aber in vom Auftraggeber gespeicherten Dokumenten und Personalakten enthalten sein. Der Auftraggeber stellt die Rechtsgrundlage sicher (§ 4 b).