Auftragsverarbeitungsvertrag

Dieses Muster eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO ist Bestandteil des Vertragsverhältnisses zwischen der Institution und der softwarebees GmbH. Es wird in Textform geschlossen und geht den Allgemeinen Geschäftsbedingungen in datenschutzrechtlichen Fragen vor. Eine unterschriftsfertige Fassung stellen wir auf Anfrage an hello@softwarebees.de bereit.

Vertragsparteien

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist die Institution, die Vicus für ihren Bereich einsetzt, also die jeweilige Gemeinde, der jeweilige Verein oder das jeweilige Unternehmen (nachfolgend „Verantwortlicher“). Setzt eine Sparte oder ein Team eines Vereins Vicus für einen eigenen Fachbereich ein, gilt dieser Vertrag für den jeweils verantwortlichen Träger dieses Bereichs.

Ist der Verantwortliche eine juristische Person des öffentlichen Rechts, unterliegt er zusätzlich dem jeweiligen Landesdatenschutzrecht und der für ihn zuständigen Aufsicht. Er kann eigene Vorgaben zur Auftragsverarbeitung sowie eine eigene oder behördliche Datenschutzbeauftragte oder einen entsprechenden Beauftragten einbringen; die Parteien stimmen diese Vorgaben vor Beginn der Verarbeitung ab.

Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist:
softwarebees GmbH
Hauptstraße 24
37434 Krebeck
Deutschland
E-Mail: hello@softwarebees.de

1. Gegenstand, Dauer und Spezifizierung des Auftrags

1. Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung und des Betriebs der Software Vicus als Software as a Service für den Verantwortlichen.
2. Die Dauer dieses Vertrags entspricht der Laufzeit des zugrunde liegenden Nutzungsverhältnisses. Der Vertrag endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf.
3. Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
4. Die Verarbeitung findet innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums statt, soweit nicht in Anlage 3 ausdrücklich etwas anderes ausgewiesen ist. Für Unterauftragsverarbeiter mit Bezug zu einem Drittland weist Anlage 3 die Übermittlungsgrundlage aus. Wo sie dort noch nicht festgelegt ist, legen die Parteien sie vor der Freigabe der Anwendung verbindlich fest und ergänzen die Anlage entsprechend.

2. Weisungsrecht des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Die Bedienung der Anwendung durch den Verantwortlichen und die von ihm vorgenommenen Konfigurationen gelten als Weisung. Dazu gehören insbesondere die Vergabe von Rollen und Berechtigungen sowie die Wahl der Sichtbarkeitsstufe eines Inhalts. Weitergehende Weisungen erteilt der Verantwortliche in Textform an die oben genannte Kontaktadresse.
3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.
4. Weisungen sowie deren Änderungen und Ergänzungen dokumentiert der Auftragsverarbeiter für die Dauer dieses Vertrags.

3. Vertraulichkeit

1. Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.
2. Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen mit den einschlägigen datenschutzrechtlichen Anforderungen vertraut sind.

4. Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält diese während der Vertragslaufzeit aufrecht.
2. Anlage 2 beschreibt den Entwicklungsstand und unterscheidet dabei zwischen Maßnahmen des ausgelieferten Stands, Maßnahmen, die entwickelt, aber noch nicht in Betrieb genommen sind, und Maßnahmen, die nicht umgesetzt sind. Geschuldet sind nach Ziffer 4.1 die Maßnahmen des Abschnitts „Umgesetzt und ausgeliefert“. Der Verantwortliche berücksichtigt diesen Stand bei seiner Entscheidung, welche Daten er in Vicus verarbeitet.
3. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf alternative Maßnahmen umsetzen, sofern das Schutzniveau der vereinbarten Maßnahmen dadurch nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen in Textform mit.

5. Unterauftragsverarbeiter

1. Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Beauftragung der in Anlage 3 genannten Unterauftragsverarbeiter.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vorher in Textform über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann einer Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs, dem nicht abgeholfen werden kann, steht dem Verantwortlichen ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistung zu.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen. Er haftet für deren Verhalten wie für eigenes Verhalten.
4. Nicht als Unterauftragsverarbeitung im Sinne dieser Ziffer gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt, etwa Telekommunikationsleistungen, Wartung, Reinigung oder Entsorgung, sofern dabei kein regelmäßiger Zugriff auf personenbezogene Daten des Verantwortlichen erfolgt.
5. Der Dienst für die Anmeldung, der Dienst für die Rechteprüfung und das vorgelagerte API-Gateway werden vom Auftragsverarbeiter selbst betrieben. Sie sind eigene Infrastruktur und keine Unterauftragsverarbeiter; für ihren Betrieb gilt der Hosting-Dienstleister nach Anlage 3.

6. Externe Fachanbieter

1. Vicus ist als Providerplattform angelegt: Ein Fachbereich, etwa die Gebäudeverwaltung, kann an einen externen Fachanbieter übergeben werden. Eine solche Anbindung erfolgt ausschließlich, wenn der Verantwortliche sie ausdrücklich in Textform entscheidet.
2. Ohne diese Entscheidung findet keine Übermittlung an einen externen Fachanbieter statt. Zum Zeitpunkt dieses Vertrags ist die Registrierung externer Fachanbieter im Produktionsbetrieb abgeschaltet; es besteht kein laufender Betrieb mit einem externen Fachanbieter.
3. Entscheidet sich der Verantwortliche für eine Anbindung, vereinbaren die Parteien vorher gesondert und in Textform, in welcher datenschutzrechtlichen Rolle der externe Fachanbieter tätig wird, welche Daten er erhält und welche Verträge dafür zu schließen sind. Anlage 3 wird entsprechend ergänzt. Ohne diese Vereinbarung erfolgt keine Anbindung.
4. Der Wechsel des schreibenden Systems ist in der Bürgeroberfläche technisch nicht erkennbar. Der Verantwortliche erfüllt seine Informationspflichten gegenüber den betroffenen Personen daher ausdrücklich; der Auftragsverarbeiter unterstützt ihn dabei mit den erforderlichen Angaben.

7. Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach den Art. 12 bis 23 DSGVO zu beantworten. Soweit die Anwendung hierfür Auskunfts-, Export- oder Löschfunktionen bereitstellt, nutzt der Verantwortliche diese; im Übrigen unterstützt der Auftragsverarbeiter auf Anfrage.
2. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht eigenständig. Dies gilt nicht, soweit der Auftragsverarbeiter für die betreffende Verarbeitung selbst Verantwortlicher ist. Für welche Verarbeitungen rund um das Konto einer Bürgerin oder eines Bürgers das zutrifft, legen die Parteien vor Beginn der Verarbeitung fest; bis dahin gilt Ziffer 2.4 der Datenschutzerklärung.
3. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach den Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten sowie bei Datenschutz-Folgenabschätzungen, jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
4. Für Unterstützungsleistungen, die über den vertraglich geschuldeten Umfang hinausgehen und nicht auf einem Verschulden des Auftragsverarbeiters beruhen, kann dieser eine angemessene Vergütung nach Aufwand verlangen. Er weist vor Beginn auf die Entgeltpflicht hin.

8. Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntniserlangung in Textform. Eine feste Reaktionsfrist wird nur vereinbart, soweit die gesonderte Vereinbarung nach Ziffer 4 der Allgemeinen Geschäftsbedingungen sie ausdrücklich regelt.
2. Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen.
3. Meldungen an die Aufsichtsbehörde nach Art. 33 DSGVO und Benachrichtigungen betroffener Personen nach Art. 34 DSGVO obliegen dem Verantwortlichen. Der Auftragsverarbeiter unterstützt ihn hierbei im erforderlichen Umfang.

9. Nachweis- und Kontrollrechte

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.
2. Der Nachweis erfolgt durch die Vorlage einer aktuellen Beschreibung der technischen und organisatorischen Maßnahmen. Testate, Zertifizierungen oder Berichte unabhängiger Prüfstellen liegen für Vicus derzeit nicht vor; sie können den Nachweis ergänzen, sobald sie vorliegen.
3. Der Verantwortliche ist berechtigt, sich nach vorheriger Anmeldung mit angemessener Frist von mindestens zwei Wochen während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs von der Einhaltung dieses Vertrags zu überzeugen. Kontrollen erfolgen in der Regel höchstens einmal jährlich, es sei denn, es besteht ein konkreter Anlass. Der Auftragsverarbeiter kann Kontrollen von der Unterzeichnung einer Vertraulichkeitserklärung abhängig machen.
4. Für Kontrollen, die über den gesetzlich geschuldeten Umfang hinausgehen, kann der Auftragsverarbeiter eine angemessene Aufwandsvergütung verlangen.

10. Löschung und Rückgabe nach Beendigung

1. Nach Beendigung der Verarbeitungstätigkeiten löscht der Auftragsverarbeiter die personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück.
2. Der Verantwortliche kann seine Daten über die Exportfunktionen der Anwendung selbst herunterladen, soweit solche Funktionen für den jeweiligen Datenbestand bereitstehen. Der Auftragsverarbeiter hält die Daten hierfür nach Möglichkeit 30 Tage nach Vertragsende bereit und löscht sie anschließend einschließlich vorhandener Kopien. Eine Erhaltungszusage besteht nach Anlage 2 nicht.
3. Die Löschung erstreckt sich auch auf Daten bei Unterauftragsverarbeitern.
4. Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, sowie Daten, für die eine gesetzliche Aufbewahrungspflicht besteht, dürfen über das Vertragsende hinaus aufbewahrt werden. Die Verarbeitung dieser Daten wird für die Dauer der Aufbewahrungsfrist eingeschränkt.
5. Widerrufene Buchungen werden nicht gelöscht, sondern aus den Listen ausgenommen, damit nachvollziehbar bleibt, ob ein Objekt zu einem Zeitpunkt belegt war. Der Verantwortliche berücksichtigt dies bei Löschanträgen betroffener Personen.
6. Soweit Datensicherungen der betroffenen Daten bestehen, werden sie überschrieben oder gelöscht, sobald der jeweilige Sicherungsbestand ersetzt wird, spätestens 90 Tage nach Vertragsende. Eine Zusage, dass Datensicherungen bestehen, ist damit nicht verbunden.

11. Haftung und Schlussbestimmungen

1. Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen der Allgemeinen Geschäftsbedingungen.
2. Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen gehen die Regelungen dieses Vertrags in datenschutzrechtlichen Fragen vor.
3. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
4. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der in den Allgemeinen Geschäftsbedingungen vereinbarte Gerichtsstand.

Anlage 1: Gegenstand, Art, Zweck und Umfang der Verarbeitung

Art und Zweck der Verarbeitung

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Einschränken und Löschen personenbezogener Daten zum Zweck der Bereitstellung und des Betriebs der Software Vicus. Dazu gehören insbesondere:

• Erstellen, Freigeben, Veröffentlichen und Fortschreiben von Bekanntmachungen mit abgestufter Sichtbarkeit einschließlich Historie und Dateianhängen
• Planen, Veröffentlichen und Darstellen von Veranstaltungen der Institution
• Verwalten von Gebäuden und Räumen sowie Bearbeiten von Anfragen, Reservierungen und Buchungen einschließlich der Rückmeldung an die anfragende Person
• Verwalten von Vereinen, Sparten und Teams sowie der zugehörigen Mitgliedschaften und Funktionen
• Benutzer- und Rechteverwaltung einschließlich der Vergabe von Rollen
• Versand von Benachrichtigungen an die Endgeräte der Nutzenden, soweit diese sie eingerichtet haben
• Protokollierung sicherheitsrelevanter und administrativer Vorgänge

Nicht Gegenstand der Verarbeitung sind Angebote, Rechnungen, Zahlungen und ein Nachrichtenaustausch zwischen Nutzenden. Vicus enthält keine Bezahlfunktion.

Kategorien betroffener Personen

• Bürgerinnen und Bürger der Gemeinde
• Mitglieder von Vereinen sowie von deren Sparten und Teams
• Vorstands-, Leitungs- und Verwaltungspersonen des Verantwortlichen
• Beschäftigte des Verantwortlichen sowie von ihm beauftragte Dienstleister
• Personen, die eine Anfrage zu einem Gebäude stellen oder eine Reservierung oder Buchung vornehmen, auch ohne eigenes Benutzerkonto
• Ansprechpersonen des Verantwortlichen gegenüber dem Auftragsverarbeiter

Art der personenbezogenen Daten

• Stammdaten: Name, Zugehörigkeit zu einer Institution, Funktion oder Rolle
• Kontaktdaten: E-Mail-Adresse, Telefon- oder Mobilnummer, Anschrift
• Benutzer- und Zugangsdaten: Benutzername, Rollen, Berechtigungen, Anmeldezeitpunkte, Kennungen der Endgeräte für Benachrichtigungen
• Mitgliedschaftsdaten: Zugehörigkeit zu Verein, Sparte oder Team, Status und Zeitraum der Mitgliedschaft, zugeordnete Funktionen
• Anfrage-, Reservierungs- und Buchungsdaten: gewünschter Zeitraum, betroffene Objekte, Freitextangaben der anfragenden Person sowie die zu einer Buchung geführten Kontaktdaten, damit die Institution die Person erreichen kann
• Inhaltsdaten: Bekanntmachungen, Veranstaltungen und Dateianhänge, soweit sie personenbezogene Angaben enthalten, die der Verantwortliche einstellt
• Nachweise über erteilte und widerrufene Einwilligungen mit Zweck und Zeitpunkt
• Angaben zur Abrechnungsidentität einer Person, soweit der Verantwortliche sie erhebt; eine Zahlungsabwicklung findet nicht statt
• Protokolldaten: Zeitstempel und Kennungen zu sicherheitsrelevanten Vorgängen

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Verantwortliche stellt sicher, dass er solche Daten nicht in die Anwendung einstellt. Dies ist bei Vereinen besonders zu beachten, weil die bloße Mitgliedschaft je nach Vereinszweck Rückschlüsse auf religiöse, weltanschauliche, politische oder gesundheitsbezogene Merkmale zulassen kann.

Der Verantwortliche berücksichtigt außerdem, dass Inhalte, die er als öffentlich einstuft, den geschützten Bereich verlassen und ohne Anmeldung abrufbar sind.

Anlage 2: Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Die folgenden Maßnahmen beschreiben den Entwicklungsstand. Der Abschnitt „Umgesetzt und ausgeliefert“ nennt Maßnahmen des ausgelieferten Stands; der Abschnitt „Vorgesehen, noch nicht ausgeliefert“ nennt Maßnahmen, die entwickelt, aber noch nicht in Betrieb genommen sind; der Abschnitt „Noch nicht umgesetzte Maßnahmen“ benennt die Lücken.

Umgesetzt und ausgeliefert

Vertraulichkeit

• Zutrittskontrolle: Der Betrieb erfolgt in Rechenzentren des Hosting-Dienstleisters nach Anlage 3 in Deutschland. Die physische Sicherung dieser Rechenzentren obliegt dem Hosting-Dienstleister. Eigene Räume mit Zugriff auf personenbezogene Daten des Verantwortlichen betreibt der Auftragsverarbeiter nicht.
• Zugangskontrolle: Die Anmeldung erfolgt über einen zentralen, vom Auftragsverarbeiter selbst betriebenen Identitätsdienst mit persönlichen Benutzerkonten. Der Identitätsdienst ist auf die Authentifizierung beschränkt. Für den Weg der Zugangsdaten und den Anmeldevorgang der mobilen Anwendung gilt einschränkend der Abschnitt „Noch nicht umgesetzte Maßnahmen“.
• Zugriffskontrolle: Jeder Zugriff wird gegen ein zentrales Autorisierungsmodell geprüft. Die Prüfung ist feingranular und beziehungsbasiert: Maßgeblich ist die konkrete Beziehung zwischen Person, Institution und Objekt, nicht allein eine grobe Rolle. Zugriffstoken werden bei jedem Aufruf gegen den zentralen Identitätsdienst validiert.
• Rollentrennung und abgestufte Sichtbarkeit: Inhalte tragen eine Sichtbarkeitsstufe (öffentlich, Gemeinde, Mitglieder, Vorstand). Die Sichtbarkeitsstufe wird bei jedem Abruf des Inhalts ausgewertet. Für Dateianhänge des bisherigen Uploadwegs gilt das nicht; siehe Abschnitt „Noch nicht umgesetzte Maßnahmen“.
• Trennungskontrolle: Die Daten verschiedener Institutionen sind auf Anwendungsebene getrennt; die Zuordnung zur Institution wird bei jedem Zugriff erzwungen.
• Trennung im Kalender: Veranstaltungen der Institution und Gebäudebelegungen werden nicht zusammengeführt. Ein Belegungseintrag kann ohne Titel erscheinen und ist dann nur als besetzter Zeitraum sichtbar, damit nicht offengelegt wird, wer welches Objekt gebucht hat.

Integrität

• Weitergabekontrolle: Die Übertragung zwischen Endgerät, Anwendung und angebundenen Diensten erfolgt ausschließlich transportverschlüsselt über TLS.
• Eingabekontrolle: Sicherheitsrelevante und administrative Vorgänge werden mit Zeitstempel und Benutzerbezug protokolliert. Bekanntmachungen führen eine Historie über Entwurf, Freigabe und Veröffentlichung.
• Auftragskontrolle: Auftragsverarbeitungsverträge mit den Unterauftragsverarbeitern nach Anlage 3, dokumentierte Weisungen, sorgfältige Auswahl der Dienstleister.

Verfahren zur Überprüfung und Bewertung

• Versionierte Infrastruktur mit nachvollziehbaren Auslieferungsprozessen.
• Automatisierte Testsuite, die im Entwicklungsprozess ausgeführt wird.
• Überprüfung der Berechtigungen und der eingesetzten Dienstleister bei jeder wesentlichen Änderung.
• Benachrichtigungen an Endgeräte sind auf sichtbare Vordergrundnachrichten begrenzt; stille Hintergrundnachrichten sind bewusst nicht umgesetzt.

Vorgesehen, noch nicht ausgeliefert

Die folgenden Maßnahmen sind entwickelt, aber noch nicht in Betrieb genommen. Der Verantwortliche kann sich für den heutigen Stand nicht auf sie stützen.

• Trennung von Anmelde- und Profildaten: Profil- und Einwilligungsdaten sollen getrennt vom Identitätsdienst geführt werden; Einwilligungen sollen als fortlaufendes, zweckbezogenes Verzeichnis geführt werden.
• Datenminimierung bei Mitgliedschaftsauskünften: Gegenüber anderen Fachbereichen soll eine Mitgliedschaft nur als zweckgebundene Ja-oder-Nein-Entscheidung mit kurzlebiger, einmalig verwendbarer Bestätigung offengelegt werden, nicht als Datensatz.
• Anfragegeheimnis: Das Geheimnis, mit dem eine anonyme Gebäudeanfrage später einem Konto zugeordnet werden kann, soll genau einmal an die anfragende Person ausgegeben, nur als Hashwert gespeichert und weder erneut auslesbar noch erneut versendbar sein; es soll genau einmal funktionieren und nach 48 Stunden verfallen. Die Ablehnung soll nicht zwischen falsch, abgelaufen und bereits verwendet unterscheiden.
• Keine Vererbung zwischen Institutionsebenen: Fachbereiche von Sparten und Teams sollen keine Bindungen, Zugangsdaten, Datenbestände oder Berechtigungen der übergeordneten Institution erben.
• Keine Geheimnisse und keine personenbezogenen Daten in Betriebs- und Auditausgaben: Die Protokoll- und Auditausgaben der Plattform sind so ausgelegt, dass sie weder Geheimnisse noch personenbezogene Daten enthalten.
• Genau ein Schreiber je Fachbereich: Für jeden Fachbereich soll genau ein schreibendes System existieren. Fällt es aus, soll kein Ersatzschreiber aktiviert werden; stattdessen soll ein ausdrücklicher, sichtbarer Zustand ohne Schreibmöglichkeit entstehen. Widersprüchliche Parallelbestände sollen dadurch vermieden werden.
• Generationsgebundene Autorisierung: Berechtigungen sollen an die jeweilige Generation eines Datenbestands gebunden sein. Für Objekte, die von einem externen Fachanbieter geführt werden, sollen keine objektbezogenen Berechtigungseinträge entstehen. Ein generationsübergreifender Zugriff ist als verbindliche Regel und als Abnahmekriterium ausgeschlossen.

Noch nicht umgesetzte Maßnahmen

Die folgenden Punkte sind in der Pilotphase nicht zugesagt. Der Verantwortliche berücksichtigt sie bei der Entscheidung, welche Daten er einstellt:

• Es besteht keine Zusage zu Verfügbarkeit, Redundanz, Datensicherung oder Wiederherstellung. Der Datenbestand der Pilotphase ist nicht als Bestand gesichert.
• Dateianhänge, die über den bisherigen Uploadweg abgelegt wurden, sind über ihre Adresse ohne weitere Prüfung abrufbar. Die Sichtbarkeitsstufe des zugehörigen Inhalts schützt sie nicht. Der Verantwortliche stellt dort keine vertraulichen Dateien ein, bis der Auftragsverarbeiter die Umstellung dieses Wegs in Textform mitgeteilt hat.
• Legt eine Institution einen Zugang für eine Person an, versendet die Anwendung Benutzername und ein erzeugtes Passwort im Klartext per E-Mail. Bis zur Umstellung dieses Wegs behandelt der Verantwortliche solche Zugangsdaten als kompromittierbar und veranlasst eine Änderung des Passworts nach der ersten Anmeldung.
• Die mobile Anwendung meldet sich mit Benutzername und Passwort unmittelbar beim Identitätsdienst an, statt den Anmeldevorgang an den Browser zu übergeben; im Entwicklungsstand ist zusätzlich eine Testanmeldung fest hinterlegt. Beides wird vor der Freigabe der Anwendung umgestellt.
• Über die Transportverschlüsselung hinaus wird keine Verschlüsselung der gespeicherten Daten zugesagt.
• Es liegen keine Testate, Zertifizierungen oder Berichte unabhängiger Prüfstellen vor.

Anlage 3: Genehmigte Unterauftragsverarbeiter

Ein Zahlungsdienstleister wird nicht eingesetzt; Vicus enthält keine Bezahlfunktion. Für den Versand von E-Mails aus der Anwendung ist derzeit kein Dienstleister benannt; wird einer eingesetzt, wird diese Anlage nach Ziffer 5.2 vorher ergänzt. Dasselbe gilt für einen externen Fachanbieter nach Ziffer 6. Die jeweils aktuelle Fassung dieser Anlage ist auf dieser Seite abrufbar.

Weitere Informationen zur Verarbeitung finden Sie in der Datenschutzerklärung. Eine unterschriftsfertige Fassung dieses Vertrags erhalten Sie unter hello@softwarebees.de.

Stand: 27. August 2026