Auftrags­verarbeitungs­vertrag

Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 der Datenschutz-Grundverordnung (DSGVO)

zwischen dem Kunden als Verantwortlichem („Kunde“)

und Sitizen Solutions, Inhaber Christos Tsiobanopoulos, Waldhofstr. 22, 68169 Mannheim, als Auftragsverarbeiter („Sitizen“)

§ 1 Geltung und Vertragsschluss

(1) Dieser Vertrag regelt die Pflichten beider Seiten, wenn Sitizen bei der Erbringung seiner Leistungen personenbezogene Daten im Auftrag des Kunden verarbeitet. Er gilt für Kunden, die für diese Daten selbst Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO sind – in der Regel Unternehmer, aber auch Vereine, Behörden oder Privatpersonen, deren Verarbeitung nicht rein persönlich oder familiär ist. Für diese Kunden ist er Bestandteil jedes Vertrags, für den die Allgemeinen Geschäftsbedingungen von Sitizen gelten („Hauptvertrag“).

(2) Privatkunden, die Daten ausschließlich für persönliche oder familiäre Tätigkeiten verarbeiten – zum Beispiel private Fotos im Kundenportal ablegen –, fallen insoweit nicht unter die DSGVO (Art. 2 Abs. 2 lit. c DSGVO) und brauchen diesen Vertrag nicht. Eine öffentlich zugängliche Webseite, etwa mit Kontaktformular, ist in der Regel keine rein persönliche oder familiäre Tätigkeit; dann gilt dieser Vertrag auch für Privatkunden.

(3) Der Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). [bitte prüfen: wie der Kunde dem Vertrag nachweisbar zustimmt – zum Beispiel über die Einbeziehung der AGB bei der Bestellung oder durch eine Bestätigung im Portal]

(4) Für den Umgang mit personenbezogenen Daten im Auftrag des Kunden geht dieser Vertrag den AGB und dem Hauptvertrag vor.

§ 2 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Gegenstand, Art und Zweck der Verarbeitung, die Arten der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Dieser Vertrag gilt, solange Sitizen personenbezogene Daten im Auftrag des Kunden verarbeitet, also für die Laufzeit des Hauptvertrags und darüber hinaus bis zur Löschung oder Rückgabe der Daten nach § 10.

(3) Die Server, auf denen Sitizen die Daten verarbeitet, stehen in Deutschland. Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur auf dokumentierte Weisung des Kunden statt und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 3 Weisungen

(1) Sitizen verarbeitet die Daten nur auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a, Art. 29 DSGVO), es sei denn, Sitizen ist nach dem Recht der Union oder Deutschlands zur Verarbeitung verpflichtet. In diesem Fall teilt Sitizen dem Kunden diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen des Kunden ergeben sich zunächst aus dem Hauptvertrag, diesem Vertrag und den Einstellungen, die der Kunde im Kundenportal vornimmt. Einzelweisungen erteilt der Kunde in Textform, zum Beispiel als Support-Anfrage im Portal oder per E-Mail. Sitizen dokumentiert Einzelweisungen.

(3) Weisungsberechtigt sind auf Seiten des Kunden die Personen, die im Kundenportal die Rolle „Inhaber“ haben, sowie weitere Personen, die der Kunde in Textform benennt. Ansprechpartner bei Sitizen ist Christos Tsiobanopoulos, info@sitizensolutions.com. [Vorschlag – bitte prüfen: Weisungsberechtigte]

(4) Ist Sitizen der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert Sitizen den Kunden unverzüglich. Sitizen darf die Ausführung der Weisung aussetzen, bis der Kunde sie bestätigt oder ändert.

(5) Weisungen, die über die vereinbarten Leistungen hinausgehen, behandelt Sitizen als Änderungswunsch; der Mehraufwand kann nach dem Hauptvertrag berechnet werden.

§ 4 Vertraulichkeit

Sitizen setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung gilt auch nach dem Ende ihrer Tätigkeit fort. [bitte bestätigen: alle Personen, die Zugriff auf Kundendaten haben – auch externe Kräfte –, sind schriftlich oder in Textform zur Vertraulichkeit verpflichtet]

§ 5 Sicherheit der Verarbeitung

(1) Sitizen trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind (Art. 28 Abs. 3 lit. c DSGVO).

(2) Die Maßnahmen entwickeln sich mit dem Stand der Technik weiter. Sitizen darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf dabei nicht sinken. Wesentliche Änderungen dokumentiert Sitizen und passt Anlage 2 an.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde erteilt Sitizen die allgemeine Genehmigung, weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.

(2) Sitizen informiert den Kunden mindestens vier Wochen vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann der Änderung innerhalb von zwei Wochen nach der Information aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Finden die Parteien keine Lösung, können beide den betroffenen Service zum Zeitpunkt des Wechsels kündigen. [Vorschlag – bitte prüfen: vier Wochen Vorankündigung, zwei Wochen Widerspruchsfrist]

(3) Sitizen erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet Sitizen dem Kunden gegenüber für dessen Pflichterfüllung.

(4) Keine Unterauftragsverarbeiter von Sitizen sind Dienste, die der Kunde selbst beauftragt und mit denen er selbst einen Vertrag hat – zum Beispiel sein eigenes Microsoft-365-Konto, über das Anfragen von seiner Webseite an ihn weitergeleitet werden, oder Werbedienste wie Google Ads. Für diese Dienste ist der Kunde selbst verantwortlich.

(5) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, bei denen Dritte keinen Zugriff auf die Daten des Kunden erhalten, zum Beispiel Telekommunikationsleistungen oder der Abruf von TLS-Zertifikaten.

§ 7 Rechte der betroffenen Personen

(1) Sitizen unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten (Art. 28 Abs. 3 lit. e DSGVO).

(2) Wendet sich eine betroffene Person direkt an Sitizen, leitet Sitizen die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, es sei denn, der Kunde weist dies an.

(3) Unterstützung, die über das hinausgeht, was die Software bereits ermöglicht, kann Sitizen nach Aufwand berechnen, es sei denn, der Anlass liegt in einem Verstoß von Sitizen gegen diesen Vertrag oder gegen Datenschutzrecht. [Vorschlag – bitte prüfen; bitte ergänzen: Stundensatz]

§ 8 Unterstützung bei Pflichten des Kunden, Meldung von Datenschutzverletzungen

(1) Sitizen unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung seiner Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung und Benachrichtigung bei Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation der Aufsichtsbehörde; Art. 28 Abs. 3 lit. f DSGVO).

(2) Sitizen meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, unverzüglich, spätestens innerhalb von 48 Stunden, nachdem Sitizen davon Kenntnis erlangt hat (Art. 33 Abs. 2 DSGVO). [Vorschlag – bitte prüfen: 48 Stunden] Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Personen und Datensätze, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Fehlende Angaben reicht Sitizen nach, sobald sie vorliegen.

(3) Sitizen trifft unverzüglich die Maßnahmen, die nötig sind, um die Daten zu sichern und mögliche nachteilige Folgen für die betroffenen Personen zu mindern, und stimmt sich dazu mit dem Kunden ab.

(4) Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen nimmt der Kunde vor; Sitizen tut dies nur auf Weisung des Kunden.

(5) § 7 Abs. 3 gilt für die Kosten entsprechend.

§ 9 Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage, für die Information der betroffenen Personen (etwa durch die Datenschutzerklärung seiner Webseite) und für Einwilligungen, die er einholt – zum Beispiel für Werbedienste auf seiner Webseite.

(2) Der Kunde speichert im Kundenportal keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO, zum Beispiel Gesundheitsdaten) und keine Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO), soweit dies nicht ausdrücklich vereinbart ist. [Vorschlag – bitte prüfen: Ausschluss besonderer Kategorien; bei der vorbereitenden Buchführung können zum Beispiel Lohndaten mit Religionszugehörigkeit oder Krankheitstagen anfallen]

(3) Der Kunde informiert Sitizen unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Nach dem Ende der Leistungen löscht Sitizen alle personenbezogenen Daten, die Sitizen im Auftrag des Kunden verarbeitet, oder gibt sie nach Wahl des Kunden zurück, sofern nicht nach dem Recht der Union oder Deutschlands eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Bis zum Vertragsende kann der Kunde seine Dateien im Kundenportal selbst herunterladen. Eine Rückgabe in anderer Form vereinbaren die Parteien im Einzelfall. Ohne andere Weisung löscht Sitizen die Daten nach Ablauf einer Frist nach Vertragsende. [bitte ergänzen: Löschung X Monate nach Vertragsende; in welchem Format Daten zurückgegeben werden]

(3) In den Datensicherungen bleiben Daten enthalten, bis der jeweilige Sicherungsstand im regulären Ablauf überschrieben wird (derzeit 14 Sicherungsstände). Bis dahin verwendet Sitizen diese Daten nur zur Wiederherstellung.

(4) Auf Verlangen bestätigt Sitizen dem Kunden die Löschung in Textform.

§ 11 Nachweise und Kontrollen

(1) Sitizen stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).

(2) Sitizen ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist und nicht im Wettbewerb mit Sitizen steht. Inspektionen vor Ort kündigt der Kunde mit angemessener Frist, in der Regel vier Wochen, an; sie finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. [Vorschlag – bitte prüfen: Ankündigungsfrist; Kosten von Inspektionen]

(3) Die Rechenzentren der Unterauftragsverarbeiter kann der Kunde nur im Rahmen der Regeln prüfen, die der jeweilige Unterauftragsverarbeiter vorsieht. Sitizen stellt dem Kunden dazu die verfügbaren Nachweise des Unterauftragsverarbeiters (zum Beispiel Zertifikate oder Prüfberichte) zur Verfügung.

§ 12 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen Kunde und Sitizen gelten die Haftungsregeln des Hauptvertrags (§ 12 der AGB), soweit Art. 82 DSGVO nichts anderes bestimmt.

§ 13 Schlussbestimmungen

(1) Änderungen dieses Vertrags bedürfen der Textform. Für Änderungen der Anlagen gelten § 5 Abs. 2 und § 6.

(2) Ist eine Bestimmung dieses Vertrags unwirksam, bleibt der Vertrag im Übrigen wirksam.

(3) Es gilt deutsches Recht. Für den Gerichtsstand gelten die gesetzlichen Vorschriften.

Anlage 1: Gegenstand und Umfang der Verarbeitung

A. Kundenportal (portal.sitizensolutions.com)

Art und Zweck: Bereitstellung und Betrieb des Kundenportals für die Zusammenarbeit zwischen Kunde und Sitizen: Verwaltung der Nutzerkonten der Mitarbeiter des Kunden, Bestellungen mit Briefings und hochgeladenen Dateien, Projekte mit Entwürfen, Kommentaren und Freigaben, Ablage von Kundendateien in Ordnern, Support-Anfragen mit Anhängen, Speicherung, Datensicherung und Löschung.

Arten personenbezogener Daten:

• Kontodaten der Nutzer: Name, E-Mail-Adresse, Rolle beim Kunden, Passwort als Hashwert, Einmal-Codes, Anmeldeprotokoll (ohne IP-Adresse), Änderungsverlauf;
• Inhalte, die der Kunde und seine Nutzer im Portal speichern: Dateien (zum Beispiel Fotos, Dokumente, Listen), Antworten auf Briefing-Fragen, Kommentare, Nachrichten und Anhänge. Diese Inhalte können personenbezogene Daten jeder Art enthalten, die der Kunde einbringt, zum Beispiel Namen, Kontaktdaten und Fotos von Personen.

Kategorien betroffener Personen: Mitarbeiter und Beauftragte des Kunden, die das Portal nutzen; Personen, deren Daten in den Inhalten des Kunden enthalten sind, zum Beispiel Mitarbeiter, Kunden, Lieferanten und Geschäftspartner des Kunden sowie auf Fotos abgebildete Personen.

B. Betrieb von Webseiten des Kunden auf dem Sitizen Baukasten

Art und Zweck: Hosting und Betrieb der Webseite des Kunden auf der Server-Umgebung von Sitizen; Entgegennahme von Kontaktanfragen der Besucher, Speicherung in der Datenbank der jeweiligen Webseite und Weiterleitung per E-Mail an den Kunden – je nach Webseite über das Microsoft-365-Konto des Kunden (Vertrag des Kunden) oder über einen SMTP-Zugang; Verwaltung der Konten der Redakteure des Kunden; auf einzelnen Webseiten Einbindung von Werbediensten (Google Ads) nur nach Einwilligung der Besucher und Speicherung dieser Auswahl.

[bitte ergänzen: welcher SMTP-Zugang genutzt wird – wenn es ein Postfach von Sitizen ist (zum Beispiel bei STRATO), gehört der Anbieter in Anlage 3]

Arten personenbezogener Daten:

• Kontaktanfragen: Name, E-Mail-Adresse, Telefonnummer (freiwillig), Nachricht, Seite des Formulars;
• technische Daten beim Aufruf der Webseite: IP-Adresse (nur kurzzeitig im Arbeitsspeicher zur Begrenzung von Anfragen, ohne Speicherung), Browserangaben;
• Einwilligungsstatus der Besucher (Cookie „einwilligung“), soweit die Webseite einwilligungspflichtige Dienste einsetzt;
• Konten der Redakteure: Name, E-Mail-Adresse, Passwort als Hashwert, Anmelde-Cookie;
• Inhalte der Webseite, soweit sie personenbezogene Daten enthalten (zum Beispiel Namen und Fotos von Mitarbeitern des Kunden).

Kategorien betroffener Personen: Besucher der Webseite des Kunden, Interessenten und Kunden des Kunden, Redakteure und Mitarbeiter des Kunden.

C. Weitere laufende Services

[bitte ergänzen: ob und welche personenbezogenen Daten bei „Betrieb Cloud“, „Restaurant Software“ und „Vorbereitende Buchführung“ im Auftrag des Kunden verarbeitet werden (zum Beispiel Belege mit Namen, Lohndaten, Gästedaten). Falls ja, hier je Service Art und Zweck, Datenarten und Betroffene ergänzen und gegebenenfalls Anlage 2 und 3 anpassen.]

D. Druckerzeugnisse

Art und Zweck: Übermittlung der vom Kunden freigegebenen Druckdaten an eine Druckerei, die die Druckerzeugnisse im Auftrag von Sitizen herstellt. Die Lieferanschrift verarbeitet Sitizen als eigener Verantwortlicher zur Erfüllung des Vertrags; sie ist nicht Gegenstand dieses Vertrags.

Arten personenbezogener Daten: Inhalte der Druckdaten, soweit sie personenbezogene Daten enthalten (zum Beispiel Namen, Kontaktdaten und Fotos von Personen).

Kategorien betroffener Personen: Personen, die auf den Druckerzeugnissen genannt oder abgebildet sind, zum Beispiel Mitarbeiter, Kunden und Geschäftspartner des Kunden.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: Oktober 2026. Sitizen prüft diese Maßnahmen regelmäßig und bei wesentlichen Änderungen. [bitte ergänzen: Prüfturnus, zum Beispiel jährlich]

1. Verschlüsselung und Datenminimierung (Art. 32 Abs. 1 lit. a DSGVO)

• Übertragung ausschließlich verschlüsselt (TLS); HSTS ist aktiviert.
• Passwörter werden nur als Hashwert gespeichert (scrypt).
• Gespeicherte Zugangsdaten sind verschlüsselt (AES-256-GCM).
• Dateien werden unter zufällig erzeugten Namen gespeichert.
• Protokolle enthalten keine IP-Adressen von Besuchern; die Begrenzung von Anfragen zählt IP-Adressen nur kurzzeitig im Arbeitsspeicher.
• [bitte ergänzen: ob die Datensicherungen verschlüsselt sind]

2. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle: Die Server stehen im Rechenzentrum des Hosters netcup in Deutschland; für die physische Sicherung gelten dessen technische und organisatorische Maßnahmen. [bitte ergänzen: Arbeitsplätze von Sitizen – zum Beispiel verschlossene Räume, Bildschirmsperre]
• Zugangskontrolle: Anmeldung mit Passwort oder Einmal-Code per E-Mail (sechs Ziffern, zehn Minuten gültig); Mitarbeiter von Sitizen zusätzlich mit zweitem Faktor (Authenticator-App, TOTP, Ersatzcodes); Begrenzung von Fehlversuchen; Sitzungen über sichere Cookies (Präfix „__Host-“). [bitte ergänzen: wie der Zugang zum Server selbst gesichert ist, zum Beispiel SSH nur mit Schlüssel]
• Zugriffskontrolle: rollenbasierte Rechte je Kunde; jede Aktion prüft Kunde und Recht; Dateien sind nur mit Berechtigung abrufbar; Mitarbeiter von Sitizen sehen nur mit Freigabe des Kunden in dessen Bereich hinein, und jede solche Einsicht wird protokolliert (Aufbewahrung 365 Tage).
• Trennungskontrolle: strikte Mandantentrennung im Portal – Kennungen anderer Kunden führen zu „nicht gefunden“ (404); eigene Datenbank je Anwendung; Webseiten und Portal laufen in getrennten Containern.
• Schutz von Geheimnissen: Schlüssel und Passwörter der Anwendungen liegen nur auf dem Server (Dateirechte 600), nicht im Quellcode.

3. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Eingabekontrolle: Änderungsverlauf (wer hat wann was geändert), Aufbewahrung 730 Tage; Freigaben mit Name und Zeitpunkt; Protokoll der Anmeldungen (wer, wann, auf welchem Weg, ohne IP-Adresse), Aufbewahrung 90 Tage.
• Weitergabekontrolle: Übertragung nur verschlüsselt; Dateien sind nur mit Berechtigung abrufbar; Prüfung beim Hochladen (keine Programme).
• Systemhärtung: Container mit schreibgeschütztem Dateisystem und ohne Root-Rechte; keine offenen Ports außer über den Reverse-Proxy.

4. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Nächtliche Sicherung von Datenbank und Dateien; 14 Sicherungsstände; zusätzliche Sicherung vor jedem Update. [bitte ergänzen: Speicherort der Sicherungen; ob er vom Server getrennt ist]
• Begrenzung von Anfragen je IP-Adresse zum Schutz vor Überlastung.
• Begrenzter Speicherplatz je Kunde (in der Regel 1 GB) und je Datei (250 MB).

5. Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)

• Wiederherstellung aus den Sicherungsständen.
• [bitte ergänzen: ob die Wiederherstellung regelmäßig getestet wird und wie oft; ob es einen Notfallplan gibt; angestrebte Wiederherstellungszeit]

6. Regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Automatische Prüfungen der Software vor jeder Veröffentlichung, unter anderem zur Mandantentrennung, zur Anmeldung und zu den Zugängen. [bitte bestätigen: automatische Prüfungen vor jeder Veröffentlichung]
• [bitte ergänzen: Einspielen von Sicherheitsupdates (Betriebssystem, Container) – wie oft; ob externe Prüfungen stattfinden]

7. Datenschutz durch Voreinstellungen und Löschung (Art. 25 DSGVO)

• Keine Tracker, keine Analysedienste, keine Schriften von fremden Servern; Funktionen mit künstlicher Intelligenz ausgeschaltet.
• Automatische Löschfristen: Einladungslinks sieben Tage gültig, abgelaufene nach 30 Tagen gelöscht; Anmeldeprotokoll 90 Tage; Einsichtsprotokoll 365 Tage; Änderungsverlauf 730 Tage; Inhalt versandter E-Mails 90 Tage; Sperrvermerke für unzustellbare Adressen 365 Tage; Support-Anfragen zwei Jahre nach Erledigung.
• Verarbeitung ausschließlich auf Servern in Deutschland.

8. Organisatorische Maßnahmen

• Verpflichtung aller Personen mit Zugriff auf Kundendaten zur Vertraulichkeit (§ 4).
• Zugriff nur, soweit für die Aufgabe nötig; Freigabe des Kunden für jede Einsicht in seinen Bereich.
• [bitte ergänzen: Ablauf bei Datenschutzverletzungen (wer meldet wem); Entzug von Zugängen beim Ausscheiden von Mitarbeitern oder externen Kräften; Schulung]

Anlage 3: Unterauftragsverarbeiter

• netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland – Bereitstellung des virtuellen Servers (Hosting) für Kundenportal und Webseiten; Standort: Deutschland. [bitte bestätigen: Anschrift laut Vertrag und Standort des Rechenzentrums]
• STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland – E-Mail-Postfach und E-Mail-Versand des Kundenportals (Einladungen, Anmeldecodes, Benachrichtigungen). [bitte prüfen: Firma und Anschrift laut Vertrag – laut eigenem Impressum firmiert STRATO inzwischen als GmbH]

[bitte ergänzen: die Druckerei(en), an die Sitizen Druckdaten übermittelt – mit Name, Sitz und Ort der Verarbeitung; sie sind Unterauftragsverarbeiter, soweit die Druckdaten personenbezogene Daten enthalten]

[bitte prüfen: weitere Unterauftragsverarbeiter, zum Beispiel Domain- oder DNS-Anbieter, Anbieter des Speicherorts der Sicherungen, ein SMTP-Anbieter für Kundenwebseiten und externe Kräfte (freie Mitarbeiter), die Zugriff auf Kundendaten haben]

Stand: Oktober 2026