Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Vertragsverhältnis

(1) Dieser AVV ergänzt den zwischen den Parteien geschlossenen Hauptvertrag über die Nutzung der Plattform (siehe AGB) für den Bereich der Verarbeitung personenbezogener Daten. Bei Widersprüchen zwischen AVV und Hauptvertrag geht der AVV in datenschutzrechtlichen Fragen vor.

(2) „Verantwortlicher" im Sinne dieses AVV ist der im Hauptvertrag benannte Kunde. „Auftragsverarbeiter" ist der im Hauptvertrag benannte Anbieter (Tobias Boehm Softwareentwicklung).

(3) Die Parteien schließen diesen AVV vor Aufnahme der Verarbeitung ab. Er kommt mit der Zustimmung des Verantwortlichen bei der Registrierung zustande; hat der Verantwortliche dort nicht zugestimmt oder gilt eine neue Fassung, mit seiner Zustimmung vor der weiteren Nutzung der Plattform. Er wird als Anlage Bestandteil des Hauptvertrags.

§ 2 Definitionen

Es gelten die Begriffsbestimmungen des Art. 4 DSGVO, insbesondere für „personenbezogene Daten", „Verarbeitung", „Verantwortlicher", „Auftragsverarbeiter", „betroffene Person", „Aufsichtsbehörde" und „Verletzung des Schutzes personenbezogener Daten". Ergänzend bedeuten: „Plattform" das im Hauptvertrag beschriebene SaaS-Angebot Begehung.pro; „Subprozessor" jeder weitere Auftragsverarbeiter im Sinne des Art. 28 Absatz 4 DSGVO; „TOM" technische und organisatorische Maßnahmen im Sinne des Art. 32 DSGVO.

§ 3 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Gegenstand: Die Erbringung der im Hauptvertrag vereinbarten SaaS-Leistungen, insbesondere Erfassung, Speicherung und Auswertung der Begehungsdaten, Erstellung und Versand von Berichten und Protokollen, der Zugang Externer über Link-Seiten sowie die KI-Funktionen nach Absatz 4.

(2) Dauer: Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrags zuzüglich des Zeitraums für Datenrückgabe und -löschung gemäß § 11.

(3) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Bereitstellen, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten.

(4) Zweck: Digitale Durchführung und Dokumentation von Begehungen über Web App und Mobile App; Erstellung von Berichten und deren Umwandlung von Word in PDF; Umwandlung und Transkription von Tonaufnahmen; Versand von Protokollen, Berichten und Aufgaben an Dritte per E-Mail; Zugang Externer über Link-Seiten (Rückmeldung zu Maßnahmen, Abstimmung eines Entwurfs); Daten-Export; Zustellung von Benachrichtigungen an die App als Push-Benachrichtigung; die KI-Funktionen Prüfpunktlisten-Import, Bericht-Import, Kommentarvorschlag, Maßnahmenvorschlag und Audio-Transkription; Fehlerdiagnose; jeweils gemäß Hauptvertrag.

(5) Kategorien personenbezogener Daten: Stammdaten von Mitarbeitenden des Verantwortlichen (Name, Funktion, Kontaktdaten, Profilbild); Begehungsinhalte (Feststellungen, Maßnahmen mit verantwortlicher Person und Frist, Notizen, Kommentare, Anwesende); Fotos mit ihren Metadaten, darunter Aufnahmezeitpunkt sowie, soweit in der Datei enthalten, Standortkoordinaten (GPS) und Blickrichtung; Tondateien, die in der Web App hochgeladen werden, und ihre Transkripte; handschriftliche Unterschriften; hochgeladene Import-Dokumente (Prüfpunktlisten, frühere Berichte) samt enthaltener Fotos; Kontaktdaten Dritter; E-Mail-Empfänger mit Zustellstatus; Rückmeldungen Externer über die Link-Seiten (Anmerkung, Nachweisfoto, Beiträge zu einem Entwurf, Unterschrift); die in der Sitzungsaufzeichnung und im Bildschirmfoto eines Melde-Berichts der Fehlerdiagnose angezeigten Inhalte.

(6) Kategorien betroffener Personen: Mitarbeitende des Verantwortlichen; Mitarbeitende von Auftragnehmern oder Fremdfirmen; Besucher, Mieter und sonstige Anwesende auf den begangenen Liegenschaften; Ansprechpartner der Kunden des Verantwortlichen; Empfänger von Protokollen und Berichten; externe Verantwortliche für Maßnahmen; Unterzeichner.

(7) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (etwa Gesundheitsdaten in einer Unfalldokumentation) verarbeitet der Auftragsverarbeiter nur, soweit der Verantwortliche sie in die Plattform einstellt, und nur im Auftrag. Enthalten Inhalte, die an eine KI-Funktion nach Absatz 4 gehen, solche Daten, verarbeitet Google Vertex AI sie zu diesem Zweck mit; das gilt auch für die Audio-Transkription, die nach jedem Hochladen einer Tondatei automatisch läuft. Eine darüber hinausgehende KI-Verarbeitung findet nicht statt. Die Schutzmaßnahmen ergeben sich aus Anlage 2.

§ 4 Weisungsbefugnis des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation, es sei denn, er ist durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die initiale Weisung ist die Verarbeitung gemäß Hauptvertrag und § 3 dieses AVV.

(3) Spätere Einzelweisungen sind in Textform (genügt: E-Mail an datenschutz@begehung.pro) zu erteilen. Mündliche Weisungen sind unverzüglich textlich zu bestätigen.

(4) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich; bis zur Klärung darf er die fragliche Verarbeitung aussetzen.

(5) Der Auftragsverarbeiter setzt KI-Verfahren ausschließlich als Werkzeug zur Erbringung der vom Verantwortlichen beauftragten Leistung ein. Eine darüber hinausgehende Verwendung der Daten, insbesondere zum Training, zur Feinjustierung oder zur dauerhaften Verbesserung eigener oder fremder KI-Modelle, findet nicht statt.

§ 5 Subunternehmer (Subprozessoren)

(1) Der Verantwortliche stimmt allgemein dem Einsatz weiterer Auftragsverarbeiter (Subprozessoren) gemäß Art. 28 Absatz 2 Satz 2 DSGVO zu.

(2) Die jeweils aktuelle Liste der eingesetzten Subprozessoren ist über diese Übersicht abrufbar und als Anlage 1 Bestandteil dieses AVV. Die Unter-Subprozessoren der dort genannten Subprozessoren sind, soweit der Subprozessor ein solches Verzeichnis veröffentlicht, über die in der Liste verlinkten Verzeichnisse einsehbar.

(3) Beabsichtigte Änderungen am Bestand der Subprozessoren kündigt der Auftragsverarbeiter dem Verantwortlichen per E-Mail an die Adresse des Kundenkontos an, mindestens vier Wochen vor dem Einsatz. Setzt ein bestehender Subprozessor einen weiteren Unter-Subprozessor ein, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, nachdem er selbst davon Kenntnis erlangt hat. Der Verantwortliche kann der Änderung innerhalb von vier Wochen nach Zugang der Mitteilung aus berechtigtem Grund, insbesondere wegen datenschutzrechtlicher Bedenken, in Textform widersprechen.

(4) Bei berechtigtem Widerspruch setzt der Auftragsverarbeiter den betreffenden Subprozessor für die Daten des Verantwortlichen nicht ein. Ist ihm das nicht zumutbar, ist jede Partei berechtigt, den Hauptvertrag zum Wirksamkeitsdatum der Änderung außerordentlich zu kündigen; ist die Änderung zum Zeitpunkt des Widerspruchs bereits wirksam (Absatz 3 Satz 2), mit sofortiger Wirkung.

(5) Der Auftragsverarbeiter schließt mit jedem Subprozessor vor dessen Einsatz einen Auftragsverarbeitungsvertrag, der dem Subprozessor Datenschutzpflichten auferlegt, die den in diesem AVV festgelegten gleichwertig sind. Auf Anfrage stellt er dem Verantwortlichen eine Kopie dieses Vertrags zur Verfügung; Geschäftsgeheimnisse und andere vertrauliche Angaben darf er dabei schwärzen. Ausgenommen ist der Apple Push Notification service: Apple bietet dafür keinen Auftragsverarbeitungsvertrag an; es gelten die in Anlage 1 genannten Bedingungen von Apple. Der Auftragsverarbeiter haftet für das Handeln seiner Subprozessoren wie für eigenes Handeln (Art. 28 Absatz 4 Satz 2 DSGVO).

(6) Erfährt der Auftragsverarbeiter von einer Verletzung von Datenschutzpflichten durch einen Subprozessor, die die Daten des Verantwortlichen betrifft, informiert er den Verantwortlichen unverzüglich.

(7) Nicht als Subprozessoren im Sinne dieses AVV gelten reine Telekommunikations-, Post- und Logistikdienstleistungen sowie sonstige Nebenleistungen, die nicht der eigentlichen Datenverarbeitung dienen.

§ 6 Vertraulichkeit

(1) Der Auftragsverarbeiter verpflichtet alle mit der Verarbeitung befassten Personen schriftlich zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Die Vertraulichkeitsverpflichtung wirkt über das Beschäftigungs- bzw. Mitarbeiterverhältnis hinaus.

(3) Auf Verlangen des Verantwortlichen weist der Auftragsverarbeiter die Verpflichtungen in geeigneter Form nach, etwa durch Vorlage einer Mustererklärung.

§ 7 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen (TOM) und passt sie dem Stand der Technik an.

(2) Wesentliche Änderungen der TOM, die das Schutzniveau mindern könnten, zeigt der Auftragsverarbeiter dem Verantwortlichen rechtzeitig in Textform an.

(3) Die TOM verfolgen die Schutzziele nach Art. 32 DSGVO: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sowie die Fähigkeit zur raschen Wiederherstellung und ein Verfahren zur regelmäßigen Überprüfung.

§ 8 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter leitet Anfragen betroffener Personen (Art. 15 bis 22 DSGVO) unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht eigenmächtig.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten aus den Art. 12 bis 22 DSGVO durch geeignete technische und organisatorische Maßnahmen, soweit dies im Rahmen seiner Auftragsverarbeitung möglich ist.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei der Erstellung von Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und ggf. bei der vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO) durch Bereitstellung der erforderlichen Informationen über die TOM und die eingesetzten Subprozessoren.

(4) Soweit der Unterstützungsaufwand über die Bereitstellung von Standardinformationen hinausgeht, ist der Auftragsverarbeiter berechtigt, diesen nach Aufwand angemessen zu vergüten; auf voraussichtlich vergütungspflichtige Tätigkeiten weist er den Verantwortlichen vorab hin.

§ 9 Meldung von Datenschutzverletzungen

(1) Bei Kenntnis einer Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnisnahme, in Textform.

(2) Die Meldung enthält die nach Art. 33 Absatz 3 DSGVO erforderlichen Angaben (Beschreibung des Vorfalls, betroffene Datenkategorien, voraussichtliche Folgen, ergriffene und geplante Maßnahmen), soweit sie zum Meldezeitpunkt verfügbar sind. Weitere Erkenntnisse werden unverzüglich nachgemeldet.

(3) Die Pflicht zur Meldung an die Aufsichtsbehörde nach Art. 33 Absatz 1 DSGVO und zur Information betroffener Personen nach Art. 34 DSGVO obliegt dem Verantwortlichen; der Auftragsverarbeiter unterstützt durch Bereitstellung aller hierfür erforderlichen Informationen.

§ 10 Kontroll- und Auditrechte

(1) Der Verantwortliche darf die Einhaltung der vertraglichen und gesetzlichen Pflichten des Auftragsverarbeiters überprüfen.

(2) Primärer Nachweisweg ist eine jährlich aktualisierte Selbstauskunft des Auftragsverarbeiters mit Beschreibung der TOM sowie ggf. Zertifikaten oder Auditberichten unabhängiger Prüfer (z. B. ISO 27001, BSI C5, SOC 2), soweit vorhanden.

(3) Eine Vor-Ort-Prüfung ist zulässig, wenn die Nachweise nach Absatz 2 nicht ausreichen. Sie ist mit einer Vorlauffrist von mindestens 30 Tagen anzukündigen; bei einer Verletzung des Schutzes personenbezogener Daten oder auf Anordnung einer Aufsichtsbehörde genügt eine angemessene kürzere Frist. Die Prüfung nimmt der Verantwortliche selbst oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer vor. Der Auftragsverarbeiter kann einen Prüfer nur aus wichtigem Grund ablehnen, etwa wenn dieser in einem Wettbewerbsverhältnis zum Auftragsverarbeiter steht. Bei der Prüfung ist auf den Geschäftsbetrieb des Auftragsverarbeiters, auf Geschäftsgeheimnisse und auf die Daten anderer Kunden Rücksicht zu nehmen.

(4) Die Kosten der Erstauskunft trägt der Auftragsverarbeiter. Kosten zusätzlicher Audits trägt der Verantwortliche, sofern nicht eine wesentliche Pflichtverletzung des Auftragsverarbeiters bestätigt wird.

(5) Die Befugnisse der zuständigen Aufsichtsbehörde bleiben unberührt. Der Auftragsverarbeiter arbeitet mit ihr zusammen, stellt ihr auf Anfrage die erforderlichen Informationen bereit und informiert den Verantwortlichen unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie die Verarbeitung für den Verantwortlichen betreffen.

§ 11 Rückgabe und Löschung von Daten

(1) Nach Beendigung der Verarbeitung hat der Verantwortliche das Wahlrecht zwischen Rückgabe oder Löschung der personenbezogenen Daten (Art. 28 Absatz 3 lit. g DSGVO).

(2) Für Rückgabe und Löschung gelten die Fristen des § 10 der AGB: Der Verantwortliche kann die Daten bis zum Ablauf der Abruffrist abrufen (90 Tage ab Vertragsende, frühestens ab dem Ende eines Übergangszeitraums nach § 8 Absätze 7 und 8 der AGB; auf Anfrage verlängert). Danach sperrt der Auftragsverarbeiter den Zugang und löscht die Daten vorbehaltlich § 10 Absatz 4 der AGB spätestens sieben Tage nach der Sperre, ohne dass es einer ausdrücklichen Wahl bedarf; für den Testlauf richtet sich die Abruffrist nach § 2 Absatz 4 Buchstaben a und c der AGB. Ausgenommen sind der Fingerabdruck der E-Mail-Adressen und der Nachweis der Annahme von AGB und AVV nach § 10 Absatz 4 der AGB; sie verarbeitet der Anbieter danach in eigener Verantwortung für die dort genannten Zwecke und Fristen. Hat der Verantwortliche nach § 8 Absatz 7 Buchstabe c der AGB die Löschung verlangt, löscht der Auftragsverarbeiter mit Vertragsende.

(3) Die Rückgabe erfolgt in einem standardisierten, maschinenlesbaren Format: als ZIP-Archiv mit XML-Daten samt Schema, PDF-Dateien und den gespeicherten Dateien; Umfang und Ausnahmen regelt § 10 der AGB. Während der Vertragslaufzeit kann der Verantwortliche die Rückgabe jederzeit selbst im Profil der Web App abrufen. Für Rückgabe, Übertragung und Löschung berechnet der Auftragsverarbeiter kein Entgelt.

(4) Auf Anforderung erteilt der Auftragsverarbeiter einen Löschnachweis in Textform.

(5) Soweit gesetzliche Aufbewahrungspflichten der Löschung entgegenstehen, werden die betroffenen Daten nur eingeschränkt verarbeitet (gesperrt) und nach Ablauf der Aufbewahrungspflichten gelöscht.

(6) Die Datenbank wird täglich gesichert; jede Sicherung wird sieben Tage aufbewahrt und danach überschrieben. Die Dateien (Fotos, Tondateien, Unterschriften, Berichte, Berichtsvorlagen, Firmenlogos, Profilbilder, Nachweisfotos Externer) werden täglich bei Google Cloud Storage in Frankfurt am Main gesichert. Ausgenommen sind kurzlebige oder jederzeit neu erzeugbare Dateien: Entwurfsberichte, hochgeladene Import-Dokumente, Daten-Exporte (ZIP-Archiv) und die Archive der Daten-Rückgabe. Eine gezielte Löschung einzelner Daten aus einer Sicherung ist technisch nicht möglich. Gelöschte Daten der Datenbank sind spätestens nach Ablauf der sieben Tage auch aus den Sicherungen der Datenbank entfernt. Gelöschte oder ersetzte Dateien bleiben in der Sicherung 30 Tage ab dem nächsten erfolgreichen Sicherungslauf abrufbar und sind danach endgültig gelöscht. Daten aus Sicherungen werden ausschließlich zur Wiederherstellung der Plattform verwendet. Ereignisse der Fehlerdiagnose einschließlich Sitzungsaufzeichnungen löscht Sentry automatisch nach 30 Tagen; bis dahin können sie auch nach Vertragsende noch Inhalte des Verantwortlichen enthalten.

(7) Nicht von den Absätzen 1 bis 6 erfasst sind die Betriebsaufzeichnungen zu den KI-Aufrufen (KI-Telemetrie). Sie verarbeitet der Anbieter in eigener Verantwortung zur Kosten- und Betriebskontrolle. Sie enthalten weder den Prompt noch den Inhalt der verarbeiteten Daten oder die Antwort des Modells, führen Nutzer und Mandant nur unter einem Pseudonym und werden nach 24 Monaten anonymisiert. Einzelheiten stehen in der Datenschutzerklärung.

§ 12 Haftung

(1) Es gelten die Haftungsregelungen der AGB (§ 12), einschließlich der Klarstellung zu DSGVO-Bußgeldern bei Vorsatz oder grober Fahrlässigkeit aus AVV-Pflichtverletzungen (§ 12 Absatz 6 AGB).

(2) Für die gesamtschuldnerische Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO gelten die gesetzlichen Bestimmungen.

(3) Der Auftragsverarbeiter unterhält eine angemessene Berufs- bzw. Betriebshaftpflichtversicherung. Auf Anfrage werden Eckdaten der Deckung mitgeteilt.

§ 13 Drittlandübermittlung

(1) Die Subprozessoren verarbeiten die Daten des Verantwortlichen an den in Anlage 1 genannten Orten. Das sind Orte in der Europäischen Union; ausgenommen ist die Zustellung von Push-Benachrichtigungen an die App; diese Zustellung verarbeiten Google und Apple auch außerhalb der EU, insbesondere in den USA. Einzelne Subprozessoren haben ihren Sitz in einem Drittland oder gehören zu Konzernen mit Sitz in einem Drittland; dabei kann es zu Übermittlungen in ein Drittland kommen, etwa durch Zugriffe zu Wartung und Support. Anlage 1 nennt je Subprozessor den Drittland-Bezug und die Garantie nach Art. 44 ff. DSGVO, für den Apple Push Notification service die geltenden Bedingungen von Apple.

(2) Der Verantwortliche weist den Auftragsverarbeiter an, Daten in dem in Anlage 1 beschriebenen Umfang an die dort genannten Subprozessoren zu übermitteln, auf Grundlage der dort genannten Garantien: EU-Standardvertragsklauseln (Art. 46 Absatz 2 lit. c DSGVO) oder der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO). Für den Apple Push Notification service nennt Anlage 1 keine dieser Garantien zwischen Auftragsverarbeiter und Apple; maßgeblich ist, was Anlage 1 dazu angibt.

(3) Eine neue Übermittlung in ein Drittland, die nicht in Anlage 1 beschrieben ist, kündigt der Auftragsverarbeiter nach den Regeln des § 5 an; das Widerspruchsrecht des Verantwortlichen besteht entsprechend. Sie erfolgt nur auf Grundlage eines Angemessenheitsbeschlusses (Art. 45 DSGVO) oder geeigneter Garantien (Art. 46 DSGVO), erforderlichenfalls ergänzt um zusätzliche technische, organisatorische oder vertragliche Maßnahmen.

§ 14 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für die Aufhebung dieser Textformklausel.

(2) Sollten einzelne Bestimmungen dieses AVV unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

(3) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG). Ausschließlicher Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters.

(4) In allen datenschutzrechtlichen Fragen geht dieser AVV den Regelungen des Hauptvertrags vor.

(5) Maßgeblich ist die deutsche Sprachfassung dieses AVV. Übersetzungen dienen ausschließlich dem besseren Verständnis.

Anlage 1: Verzeichnis der Subprozessoren

Diese Anlage verweist auf das Verzeichnis der vom Auftragsverarbeiter eingesetzten Subprozessoren mit Sitz, Zweck, Datenkategorien, Verarbeitungsort und Drittland-Garantie. Maßgeblich ist das Verzeichnis in Version 4, Stand 5. Oktober 2026; spätere Fassungen gelten nach Ankündigung gemäß § 5.

Die jeweils aktuelle Fassung ist unter der Subprozessoren-Übersicht abrufbar und Bestandteil dieses AVV.

Anlage 2: Technische und organisatorische Maßnahmen (TOM)

Die nachfolgenden technischen und organisatorischen Maßnahmen bestehen zum Stand dieses AVV und dienen einem dem Risiko angemessenen Schutzniveau im Sinne des Art. 32 DSGVO. Sie sind nach Art. 32 Absatz 1 lit. b bis d DSGVO gegliedert.

• Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

  Zutrittskontrolle: Der Auftragsverarbeiter betreibt kein eigenes Rechenzentrum; die Systeme laufen ausschließlich bei den in Anlage 1 genannten Anbietern. Zugangskontrolle: Zwei-Faktor-Authentifizierung an allen Verwaltungszugängen (Google Cloud, Amazon Web Services, Supabase, Sentry, PowerSync, GitLab); Zugangsschlüssel der Dienste liegen im Secret Manager der Google Cloud, als Server-Geheimnis bei Supabase oder als geschützte, maskierte Variable der Build-Pipeline und erreichen keinen Client; das Ausrollen in die Google Cloud läuft ohne gespeicherten Schlüssel. Zugriffs- und Trennungskontrolle: Zugriffe der Nutzer über Web App und Link-Seiten sind über Row-Level-Security auf den eigenen Mandanten beschränkt; welche Daten die Mobile App erhält, begrenzen Synchronisationsregeln mit demselben Mandantenfilter. Serverseitige Funktionen und das Verwaltungswerkzeug des Auftragsverarbeiters (Admin-Panel) greifen mit einem Dienstschlüssel ohne diese Beschränkung zu; der Schlüssel liegt nur als Server-Geheimnis bzw. auf dem Rechner des Auftragsverarbeiters. Dateien liegen in privaten Ablagen, deren Speicher-Richtlinien den Zugriff auf den Ordner des eigenen Mandanten begrenzen, und werden nur über kurzlebige signierte Links ausgeliefert. Links für Externe stehen in der Datenbank nur als Hash, geben nur die Inhalte des jeweiligen Links frei und enden durch Ablauf oder Widerruf. Verschlüsselung: Verbindungen zu den Anwendungen und Diensten ausschließlich über TLS; die Web App erzwingt HTTPS (HSTS) und begrenzt nachladbare Inhalte per Content-Security-Policy; E-Mails stellt Amazon SES verschlüsselt zu, sofern der empfangende Mailserver TLS anbietet; die lokale Datenbank der Mobile App ist verschlüsselt, ihr Schlüssel liegt im Android Keystore bzw. in der iOS Keychain; die Verschlüsselung gespeicherter Daten bei den Anbietern (AES-256) beruht auf deren Zusage. Fehlerdiagnose: Die automatische Fehlerdiagnose in Web App und App ist nur nach Einwilligung des Nutzers aktiv; in der Sitzungsaufzeichnung sind Eingabefelder maskiert und Medien blockiert; das Diagnose-Programm sendet keine Standard-Personendaten wie die IP-Adresse (sendDefaultPii: false); Filter entfernen Cookies, Kopfzeilen, Anfrage-Parameter und Link-Kennungen aus den Ereignissen; die Ereignisse werden in Frankfurt am Main verarbeitet. Entwicklung und Tests laufen lokal mit Testdaten, nicht mit Kundendaten. Löschung: Nach Vertragsende löscht der Auftragsverarbeiter die Daten nach § 11 manuell und bestätigt die Löschung auf Anforderung in Textform.

• Integrität (Art. 32 Abs. 1 lit. b DSGVO)

  Übertragungskontrolle: Verbindungen ausschließlich über TLS, kein unverschlüsseltes HTTP (zur Zustellung von E-Mails siehe Vertraulichkeit). Unveränderbarkeit: Eine versiegelte Begehung ist unveränderlich; jede Korrektur erzeugt eine neue Version, die Vorversionen bleiben erhalten. Das PDF einer versiegelten Version ist mit einem Zertifikat des Auftragsverarbeiters digital signiert und trägt einen Zeitstempel (PAdES); jede spätere Änderung macht die Signatur ungültig. Der SHA-256-Hash der Datei wird beim Ablegen gespeichert und in der Web App angezeigt. Eingabekontrolle: Jede Version hält ihren Versiegelungszeitpunkt fest und nennt, soweit hinterlegt, den durchführenden Begeher. Ein Protokoll einzelner Eingaben und Änderungen gibt es nicht.

• Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

  Tägliche Sicherung der Datenbank mit sieben Tagen Aufbewahrung. Tägliche Sicherung der Dateien bei einem zweiten Anbieter (Google Cloud Storage, Frankfurt am Main), ausgenommen die in § 11 Absatz 6 genannten kurzlebigen oder neu erzeugbaren Dateien; die Sicherung ist privat und verschlüsselt. Gelöschte oder ersetzte Dateien bleiben darin 30 Tage ab dem nächsten erfolgreichen Sicherungslauf erhalten; weder der Sicherungslauf noch die Zugänge des Dateispeichers können sie vor Ablauf dieser Frist endgültig löschen. Die Sicherungsläufe werden überwacht; ein fehlgeschlagener oder ausgebliebener Lauf wird dem Auftragsverarbeiter gemeldet. Betrieb bei den in Anlage 1 genannten Anbietern in Rechenzentren in der EU; die Zustellung von Push-Benachrichtigungen an die App läuft über die Infrastruktur von Google und Apple, auch in den USA. Begrenzung der Aufrufe an den Link-Seiten für Externe und an den vom Nutzer ausgelösten KI-Funktionen. Die Mobile App erfasst offline und gleicht ab, sobald eine Verbindung besteht.

• Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DSGVO)

  Die Datenbank lässt sich aus der täglichen Sicherung wiederherstellen, bis zu sieben Tage zurück. Die Dateien lassen sich aus ihrer Sicherung einzeln, je Mandant oder je Ablage wiederherstellen, wahlweise im Stand eines Zeitpunkts passend zur Sicherung der Datenbank; die Wiederherstellung einer einzelnen Datei und der Dateien eines Mandanten in einer Ablage wurde am 28. September 2026 getestet. Die Anwendungen lassen sich jederzeit aus der Versionsverwaltung über die Build-Pipeline neu ausrollen.

• Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

  Die technischen und organisatorischen Maßnahmen werden mindestens jährlich und bei jeder Änderung an eingesetzten Diensten oder an der Architektur überprüft; das Ergebnis wird schriftlich festgehalten. Letzte Überprüfung: 28. September 2026. Jede Änderung am Quellcode der Web App, der Server-Funktionen und der Mobile App durchläuft vor der Übernahme automatische Prüfungen (Lint, Tests, Build) und ein Review. Die ausgelieferten Abhängigkeiten der Web App, der Server-Funktionen, der Mobile App (Android und iOS) und der Website begehung.pro werden bei jeder Änderung und wöchentlich automatisch auf bekannte Schwachstellen geprüft.

• Auftragskontrolle (Subprozessoren)

  Auswahl der Subprozessoren nach Verarbeitungsort, Verschlüsselung und Aufbewahrung; mit jedem Subprozessor besteht vor dem Einsatz ein Auftragsverarbeitungsvertrag, ausgenommen der Apple Push Notification service (§ 5 Absatz 5); Führung des Verzeichnisses in Anlage 1; Benachrichtigungen der Anbieter über Änderungen ihrer Unter-Subprozessoren sind abonniert, soweit ein Anbieter sie anbietet.

Die Maßnahmen der in Anlage 1 genannten Anbieter, etwa die Verschlüsselung gespeicherter Daten und der physische Schutz der Rechenzentren, beruhen auf deren vertraglichen Zusagen in den dort verlinkten Auftragsverarbeitungsverträgen, beim Apple Push Notification service in den dort verlinkten Bedingungen von Apple.