Auftragsverarbeitungsvertrag

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Allgemeinen Geschäftsbedingungen der Tenera Systems GmbH (Firmensitz: Glasbläserallee 4a, 10245 Berlin) und gilt zwischen der Tenera Systems GmbH und dem jeweiligen Kunden mit Abschluss des Hauptvertrags als abgeschlossen.

Die Tenera Systems GmbH verarbeitet personenbezogene Daten als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO. Der jeweilige Kunde ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.‍

1. Gegenstand und Dauer der Verarbeitung

1.1 Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Auftraggebers im Zusammenhang mit der Bereitstellung, dem Betrieb und der Nutzung der Software-Lösung „Tenera“ sowie der hiermit verbundenen Leistungen.

1.2 Die Verarbeitung erfolgt ausschließlich zur Erfüllung der vertraglich vereinbarten Leistungen gemäß dem Hauptvertrag, insbesondere den Allgemeinen Geschäftsbedingungen. Eine darüberhinausgehende oder eigenständige Zweckverfolgung durch den Auftragsverarbeiter findet nicht statt.

1.3 Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Mit dessen Beendigung endet auch die Berechtigung zur Verarbeitung personenbezogener Daten, vorbehaltlich gesetzlicher Aufbewahrungspflichten.

2. Art und Zweck der Verarbeitung

2.1 Die Verarbeitung personenbezogener Daten umfasst insbesondere das Erheben, Speichern, Ordnen, Auslesen, Übermitteln, Löschen sowie sonstige Formen der Verarbeitung, soweit diese zur vertragsgemäßen Leistungserbringung erforderlich sind.

2.2 Zweck der Verarbeitung ist die vertragsgemäße Erbringung der im Hauptvertrag vereinbarten Leistungen. Hierzu zählen insbesondere die Bereitstellung, der Betrieb und die Administration der Software, die Sicherstellung der technischen Funktionsfähigkeit, die Durchführung von Wartungs-, Support- und Analyseleistungen sowie die Erfüllung sonstiger vertraglicher Verpflichtungen gegenüber dem Auftraggeber. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters erfolgt nicht.

2.3 Die Verarbeitung personenbezogener Daten im Rahmen der vertragsgemäßen Nutzung der Software erfolgt auf Grundlage der im Hauptvertrag getroffenen Vereinbarungen und gilt als durch den Auftraggeber erteilte Weisung im Sinne dieses AVV.

2.4 Die Verarbeitung personenbezogener Daten erfolgt grundsätzlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums. Sofern im Rahmen eingesetzter Unterauftragnehmer ein Drittlandbezug , insbesondere bei cloudbasierten Kommunikations- oder Infrastrukturleistungen, nicht ausgeschlossen werden kann, erfolgt die Verarbeitung ausschließlich unter Einhaltung der gesetzlichen Vorgaben der Art. 44 ff. DSGVO. Einzelheiten ergeben sich aus der Unterauftragnehmerliste (Anlage 2).

3. Art der personenbezogenen Daten und betroffene Personen

3.1 Die nachfolgend aufgeführten Datenarten ergeben sich aus der Art der Software sowie aus den Inhalten, die der Auftraggeber im Rahmen der Nutzung eigenverantwortlich verarbeitet. Abhängig von der konkreten Nutzung werden insbesondere folgende Arten personenbezogener Daten verarbeitet:

Stammdaten (z. B. Name, Kontaktdaten),
Nutzungs- und Zugriffsdaten,
Kommunikationsdaten,
Vertrags- und Abrechnungsdaten,
Auskunftsangaben und sonstige personenbezogene Informationen, die aus externen Quellen stammen oder vom Auftraggeber bereitgestellt werden,
sonstige Inhalte und Dokumente, die durch den Auftraggeber oder seine Nutzer im Rahmen der Nutzung der Software eingestellt werden.

3.2 Betroffene Personen sind insbesondere:

Mitarbeitende des Auftraggebers, Nutzer der Software,Ansprechpartner und Kontaktpersonen des Auftraggebers,
Beschäftigte oder sonstige Personen Dritter, deren personenbezogene Daten durch den Auftraggeber im Rahmen der Nutzung der Software verarbeitet werden.

4. Technische und organisatorische Maßnahmen

4.1 Der Auftragsverarbeiter ergreift geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau sicherzustellen. Dabei berücksichtigt er insbesondere den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung.

4.2 Die zum Zeitpunkt des Vertragsschlusses geltenden technischen und organisatorischen Maßnahmen sind in Anlage 1 (Technische und organisatorische Maßnahmen – TOM) beschrieben.

4.3 Der Auftragsverarbeiter ist berechtigt, die technischen und organisatorischen Maßnahmen weiterzuentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird und die Maßnahmen weiterhin den gesetzlichen Anforderungen entsprechen.‍

5. Einsatz von Unterauftragnehmern

5.1 Der Auftraggeber erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz von Unterauftragnehmern im Sinne von Art. 28 Abs. 2 DSGVO.

5.2 Unterauftragnehmer sind ausschließlich solche Dienstleister, die personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Leistungserbringung verarbeiten. Der Auftragsverarbeiter wählt Unterauftragnehmer mit der gebotenen Sorgfalt aus und stellt sicher, dass diese hinreichende Garantien für die Einhaltung geeigneter technischer und organisatorischer Maßnahmen bieten.

5.3 Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragnehmer sind in Anlage 2 (Unterauftragnehmerliste) aufgeführt.

5.4 Der Auftragsverarbeiter informiert den Auftraggeber über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragnehmern. Der Auftraggeber kann der Änderung aus wichtigem, nachweislich datenschutzrechtlichem Grund widersprechen. Ein solcher Widerspruch hindert den Auftragsverarbeiter nicht an der Erbringung der vertraglich geschuldeten Leistungen.

5.5 Der Auftragsverarbeiter stellt sicher, dass Unterauftragnehmer vertraglich mindestens denselben Datenschutzpflichten unterliegen wie nach diesem AVV.

5.6 Nicht als Unterauftragnehmer im Sinne dieses AVV gelten Dienstleister, die lediglich unterstützende Nebenleistungen ohne Zugriff auf personenbezogene Daten erbringen, wie insbesondere Post- und Kurierdienste, Telekommunikationsanbieter oder Entsorgungsdienstleister.

6. Rechte und Pflichten des Auftraggebers

6.1 Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich.

6.2 Handlungen des Auftraggebers oder seiner Nutzer im Rahmen der vertragsgemäßen Nutzung der Software gelten nicht als Weisungen im datenschutzrechtlichen Sinne.

6.3 Der Auftraggeber stellt sicher, dass er zur Verarbeitung der personenbezogenen Daten berechtigt ist und die gesetzlich erforderlichen Informationen gegenüber den betroffenen Personen erteilt werden.

7. Pflichten des Auftragsverarbeiters (inkl. Qualitätssicherung)

7.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit eine solche Weisung über die vertragsgemäße Nutzung der Software hinaus erforderlich ist.

7.2 Dokumentierte Weisungen sind solche Anweisungen, die ausdrücklich als Weisung zur Verarbeitung personenbezogener Daten erteilt werden und über die im Hauptvertrag vorgesehene Nutzung der Software hinausgehen.

7.3 Der Auftragsverarbeiter verpflichtet alle ihm unterstellten Personen, die Zugriff auf personenbezogene Daten haben, zur Vertraulichkeit und stellt sicher, dass diese entsprechend den Vorgaben dieses AVV sowie der anwendbaren Datenschutzvorschriften handeln.

7.4 Dies gilt auch für Fälle des mobilen Arbeitens, der Telearbeit oder des Arbeitens im Homeoffice. Der Auftragsverarbeiter gewährleistet, dass auch in diesen Fällen geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO umgesetzt werden.

7.5 Der Auftragsverarbeiter stellt durch geeignete organisatorische Vorgaben, interne Prozesse und regelmäßige Überprüfungen sicher, dass die Verarbeitung personenbezogener Daten dauerhaft im Einklang mit den Anforderungen dieses AVV sowie den anwendbaren datenschutzrechtlichen Vorschriften erfolgt.

8. Weisungen

8.1 Weisungen des Auftraggebers erfolgen mindestens in Textform.

8.2 Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

9. Unterstützungspflichten

9.1 Der Auftragsverarbeiter unterstützt den Auftraggeber in angemessenem Umfang bei der Erfüllung seiner gesetzlichen Pflichten, insbesondere im Hinblick auf die Wahrung der Betroffenenrechte, die Sicherheit der Verarbeitung, die Durchführung von Datenschutz-Folgenabschätzungen sowie die Kommunikation mit Aufsichtsbehörden.

9.2 Die Unterstützung erfolgt in einer Weise, die dem Auftragsverarbeiter unter Berücksichtigung der Art der Verarbeitung und seiner betrieblichen Abläufe zumutbar ist.

10. Meldung von Datenschutzverletzungen

10.1 Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, um dem Auftraggeber die Erfüllung seiner gesetzlichen Melde- und Benachrichtigungspflichten zu ermöglichen.

10.2 Die Information erfolgt nach dem jeweiligen Kenntnisstand und wird fortlaufend ergänzt, sobald weitere relevante Erkenntnisse vorliegen.

11. Kontroll- und Nachweismöglichkeiten des Auftraggebers

11.1 Der Auftraggeber ist berechtigt, die Einhaltung dieses AVV nach Maßgabe der gesetzlichen Vorgaben zu überprüfen. Die Kontrollrechte dienen dem Nachweis der Einhaltung der datenschutzrechtlichen Pflichten des Auftragsverarbeiters und sind unter Wahrung der berechtigten Interessen des Auftragsverarbeiters sowie der übrigen Kunden auszuüben.

11.2 Der Auftragsverarbeiter stellt dem Auftraggeber auf Anfrage die erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung.

11.3 Der Nachweis kann insbesondere durch geeignete Dokumentationen, Berichte, interne Richtlinien oder anerkannte Zertifizierungen erfolgen.

11.4 Vor-Ort-Audits sind ausgeschlossen. Prüfungen erfolgen ausschließlich in Form dokumentenbasierter Kontrollen oder durch geeignete Remote-Verfahren.

11.5 Die Durchführung von Prüfungen bei Unterauftragnehmern ist ausgeschlossen; hiervon unberührt bleibt das Recht des Auftraggebers, Nachweise über die vertragliche Absicherung der Unterauftragnehmer zu verlangen.

12. Rückgabe und Löschung von Daten

12.1 Nach Beendigung des Vertragsverhältnisses hat der Auftraggeber die Möglichkeit, personenbezogene Daten im Rahmen der vertraglich vereinbarten Funktionen zu exportieren.

12.2 Die Löschung der personenbezogenen Daten erfolgt nach Ablauf der in den Allgemeinen Geschäftsbedingungen festgelegten Frist.

12.3 Gesetzliche Aufbewahrungspflichten bleiben unberührt.

13. Haftung

13.1 Es gelten ausschließlich die Haftungsregelungen des Hauptvertrags. Dieser AVV begründet keine darüberhinausgehende Haftung.

14. Schlussbestimmungen

14.1 Es gilt deutsches Recht.

14.2 Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

14.3 Sollte eine Bestimmung dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 – Technische und organisatorische Maßnahmen (TOM)

Vorwort

Dieses Dokument beschreibt die bei Tenera Systems GmbH (nachfolgend „Tenera Systems“) als verbindlich festgelegten technischen und organisatorischen Maßnahmen (TOM) im Zusammenhang mit der Verarbeitung personenbezogener Daten im Rahmen von Auftragsverarbeitungen gemäß Art. 28, 32 DSGVO. Die dargestellten Maßnahmen bilden das aktuell gelebte Datenschutz- und Datensicherheitskonzept von Tenera ab.

Die Maßnahmen sind risikoadäquat ausgestaltet und orientieren sich am Stand der Technik. Sie berücksichtigen insbesondere die Schutzwerte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der verarbeiteten Daten.

Die nachfolgenden Maßnahmen sind so formuliert, dass sie den laufenden Betrieb von Tenera Systems angemessen abbilden und zugleich eine perspektivische Erweiterung, etwa durch die Einbindung weiterer Mitarbeitender oder externer Dienstleister, ermöglichen.

Datenschutz- und Datensicherheitskonzept

Die EU-Datenschutz-Grundverordnung verpflichtet Verantwortliche und Auftragsverarbeiter, personenbezogene Daten durch angemessene technische und organisatorische Maßnahmen zu schützen. Die getroffenen Maßnahmen bei Tenera Systems stellen sicher, dass personenbezogene Daten vor unbefugtem Zugriff, Verlust, Veränderung oder Offenlegung geschützt sind.

Die Schutzwerte werden wie folgt verstanden:

Vertraulichkeit: Schutz vor unbefugter Kenntnisnahme
Integrität: Schutz vor unbefugter oder unbeabsichtigter Veränderung
Verfügbarkeit: Sicherstellung der Abrufbarkeit und Nutzbarkeit
Belastbarkeit: Widerstandsfähigkeit der Systeme bei Störungen

I. Zutrittskontrolle

Unbefugten ist der Zutritt zu Datenverarbeitungsanlagen, auf denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren.

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich auf extern betriebenen Datenverarbeitungsanlagen in Form einer Cloud-Infrastruktur.
Eigene Server werden in den Räumlichkeiten von Tenera Systems nicht betrieben.
Der Firmensitz ist nicht öffentlich zugänglich. Der Zugriff auf Arbeitsumgebungen, in denen personenbezogene Daten verarbeitet werden, ist organisatorisch so ausgestaltet, dass ausschließlich berechtigte Personen Zugang zu den eingesetzten Datenverarbeitungsanlagen haben.

II. Zugangskontrolle

Unbefugten ist der Zugang zu Datenverarbeitungsanlagen, auf denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren.

Der Zugriff auf IT-Systeme und Anwendungen ist ausschließlich berechtigten Personen vorbehalten.
Die Authentifizierung erfolgt mittels individueller Benutzerkennungen und starker, ausreichend komplexer Passwörter.
Zur sicheren Verwaltung von Zugangsdaten wird ein Passwortmanager eingesetzt, der eine verschlüsselte Speicherung gewährleistet.
Soweit technisch verfügbar und angemessen, wird eine Zwei-Faktor-Authentifizierung eingesetzt.
Tragbare Endgeräte sind durch geeignete Zugangssperren (z. B. Passwort oder PIN) gegen unbefugte Nutzung gesichert.

III. Zugriffskontrolle

Es ist sicherzustellen, dass berechtigte Personen ausschließlich auf diejenigen personenbezogenen Daten zugreifen können, die ihrer jeweiligen Zugriffsberechtigung unterliegen.

Der Zugriff auf personenbezogene Daten ist auf einen eng begrenzten Personenkreis beschränkt und erfolgt ausschließlich auf Grundlage einer entsprechenden Berechtigung.
Zugriffsrechte werden rollen- und zweckbezogen nach dem Need-to-know-Prinzip vergeben.
Bei Wegfall der Berechtigung werden Zugriffsrechte unverzüglich entzogen.
Zugriffs- und Berechtigungskonzepte werden in angemessenem Umfang dokumentiert.

IV. Datenträgerkontrolle

Es ist zu verhindern, dass Datenträger unbefugt gelesen, kopiert, verändert oder entfernt werden können.

Personenbezogene Daten werden überwiegend in digitaler, cloudbasierter Form verarbeitet.
Physische Datenträger mit personenbezogenen Daten werden nicht an Dritte weitergegeben.
Endgeräte werden gegen unbefugten Zugriff und Verlust geschützt.
Die Entsorgung von Datenträgern und Unterlagen erfolgt ordnungsgemäß und datenschutzkonform.

V. Datenintegrität

Es ist sicherzustellen, dass personenbezogene Daten nicht unbefugt oder unbeabsichtigt verändert werden.

Änderungen an personenbezogenen Daten sind nur berechtigten Personen möglich.
Die eingesetzten technischen und organisatorischen Maßnahmen werden im Rahmen des Betriebs regelmäßig überprüft.

VI. Übertragungskontrolle

Es ist nachvollziehbar, an welchen Stellen personenbezogene Daten übermittelt werden können.

Die Übertragung personenbezogener Daten erfolgt ausschließlich über verschlüsselte Verbindungen.
Es werden ausschließlich reguläre Internetverbindungen genutzt.

VII. Transportkontrolle

Es ist zu verhindern, dass personenbezogene Daten während der Übertragung oder des Transports unbefugt gelesen, kopiert, verändert oder gelöscht werden.

Eine physische Übermittlung von Datenträgern mit personenbezogenen Daten findet nicht statt.
Elektronische Datenübertragungen erfolgen ausschließlich in gesicherter Form.

VIII. Benutzerkontrolle

Es ist zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden.

Administratorenrechte sind auf das erforderliche Maß beschränkt.
Zugriffsberechtigte Personen sind zur Vertraulichkeit verpflichtet.
Externe Dienstleister erhalten nur im erforderlichen Umfang Zugriff und ausschließlich auf vertraglicher Grundlage.
Bei einer Erweiterung des Personenkreises werden Benutzerkonten, Berechtigungen und organisatorische Maßnahmen rollen- und aufgabenbezogen ausgestaltet und in angemessenem Umfang überprüft.

IX. Auftragskontrolle

Es ist sicherzustellen, dass personenbezogene Daten ausschließlich entsprechend den Weisungen des Auftraggebers verarbeitet werden.

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich im Rahmen der vertraglich vereinbarten Zwecke.
Eine Weiterverarbeitung zu eigenen Zwecken durch Tenera Systems erfolgt nicht.
Externe Dienstleister werden nur auf Grundlage entsprechender vertraglicher Regelungen eingebunden.

X. Speicherkontrolle

Es ist zu verhindern, dass personenbezogene Daten unbefugt eingegeben, zur Kenntnis genommen, verändert oder gelöscht werden.

Der Zugriff auf gespeicherte personenbezogene Daten ist durch geeignete Authentifizierungsmechanismen geschützt.
Die Sperrung und Löschung personenbezogener Daten erfolgt gemäß vertraglicher und gesetzlicher Vorgaben.

XI. Zuverlässigkeit

Es ist sicherzustellen, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.

Es wird eine professionelle und stabile Cloud-Infrastruktur eingesetzt.
Zentrale Systeme sind durch den Hosting-Anbieter redundant ausgelegt.

XII. Wiederherstellbarkeit

Es ist sicherzustellen, dass personenbezogene Daten bei technischen oder physischen Zwischenfällen zeitnah wiederhergestellt werden können.

Es werden regelmäßige Datensicherungen durchgeführt.
Wiederherstellungsverfahren orientieren sich an den technischen Möglichkeiten der eingesetzten Systeme.

XIII. Trennbarkeit

Es ist sicherzustellen, dass personenbezogene Daten, die zu unterschiedlichen Zwecken verarbeitet werden, getrennt verarbeitet werden können.

Eine logische Trennung der Datenbestände ist umgesetzt.
Produktiv-, Test- und Entwicklungsumgebungen sind voneinander getrennt.

XIV. Betriebssysteme

Es ist zu verhindern, dass Unbefugte Zugriff auf Betriebssysteme erhalten.

Betriebssysteme sind durch passwortgeschützte Benutzerkonten abgesichert.
Der Zugriff ist ausschließlich berechtigten Personen vorbehalten.

XV. Anwendungen

Es ist zu verhindern, dass Unbefugte Zugriff auf Anwendungen erhalten.

Anwendungen sind durch geeignete Zugriffsschutzmechanismen abgesichert.
Die Trennung zwischen Produktiv-, Test- und Entwicklungsumgebungen ist umgesetzt.

Anlage 2 - Unterauftragnehmer

Der Auftragnehmer setzt zur Erbringung der vertraglich geschuldeten Leistungen die nachfolgend genannten Unterauftragnehmer im Sinne des Art. 28 Abs. 2 DSGVO ein. Die Unterauftragnehmer werden ausschließlich im Rahmen der technischen Bereitstellung, des Betriebs und der Absicherung der Tenera-Plattform eingesetzt.

Die Verarbeitung personenbezogener Daten durch die Unterauftragnehmer erfolgt jeweils auf Grundlage wirksamer Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO sowie – soweit eine Verarbeitung in Drittländern erfolgt – unter Einhaltung der Vorgaben der Art. 44 ff. DSGVO.

1. Hetzner Online

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, wird als Anbieter von Hosting- und Rechenzentrumsleistungen eingesetzt. Die Verarbeitung personenbezogener Daten erfolgt im Rahmen der Speicherung und des Betriebs der Tenera-Plattform.

Informationen zu den technischen und organisatorischen Maßnahmen sowie zu bestehenden Zertifizierungen sind abrufbar unter: https://www.hetzner.com/de/rechtliches/datenschutz

2. Twilio SendGrid

Twilio Ireland Limited, 70 Sir John Rogerson’s Quay, Dublin 2, D02 R296, Irland, sowie Twilio SendGrid, 375 Beale Street, Suite 300, San Francisco, CA 94105, USA wird für den Versand systemischer und transaktionaler E-Mails (z. B. Account-, System- und Benachrichtigungs-E-Mails) eingesetzt.

Der Versand der E-Mails erfolgt unter Nutzung von EU-basierten Datenverarbeitungsoptionen (EU Data Residency). Twilio ist nach dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen zu Datenschutz, Auftragsverarbeitung und Sicherheitsmaßnahmen sind abrufbar unter: https://www.twilio.com/en-us/legal/privacy

3. Google Ireland Limited / Google LLC

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, sowie Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, werden für Office- und Kollaborationstools im Rahmen der internen Leistungserbringung eingesetzt.

Google verfügt über anerkannte Sicherheitszertifizierungen (u. a. ISO 27001, SOC-Berichte) und ist nach dem EU-US Data Privacy Framework zertifiziert. Weitere Informationen zu Datenschutz und Compliance sind abrufbar unter: https://cloud.google.com/security/compliance

4. InterNetX GmbH (INWX)

InterNetX GmbH (INWX), Prinzessinnenstraße 30, 10969 Berlin, Deutschland, wird für die Domain-Registrierung und -verwaltung eingesetzt. Die Verarbeitung personenbezogener Daten beschränkt sich auf technisch erforderliche Registrierungs- und Verwaltungsprozesse.

Informationen zum Datenschutz bei INWX sind abrufbar unter: https://www.inwx.de/datenschutz

Ergänzende Hinweise

Die jeweils aktuellen technischen und organisatorischen Maßnahmen (TOMs) der vorgenannten Unterauftragnehmer sind über die genannten Informationsseiten abrufbar.

Weitere Dienstleister, die ausschließlich für Marketing-, Analyse- oder Website-Zwecke eingesetzt werden, sind nicht Bestandteil dieser Unterauftragnehmerliste und werden gesondert in der Datenschutzerklärung beschrieben.

Der Auftragnehmer behält sich vor, Unterauftragnehmer gemäß § 5 des Auftragsverarbeitungsvertrags zu ändern oder zu ersetzen, sofern die datenschutzrechtlichen Anforderungen weiterhin erfüllt werden.