Vereinbarung zur Auftragsverarbeitung

1. Parteien, Gegenstand, Rangfolge

(1) Diese Vereinbarung ergänzt die Allgemeinen Geschäftsbedingungen für die Nutzung von Biber DPP (nachfolgend „Hauptvertrag“) und regelt die Verarbeitung personenbezogener Daten im Auftrag des Kunden.

(2) Verantwortlicher im Sinne des Artikels 4 Nummer 7 DSGVO ist der Kunde. Auftragsverarbeiter im Sinne des Artikels 4 Nummer 8 DSGVO ist die BCCM Inkubator GmbH, Bahnhofstraße 32, 09648 Mittweida, Amtsgericht Chemnitz, HRB 36502.

(3) Widersprechen sich diese Vereinbarung und der Hauptvertrag, gehen die Regelungen dieser Vereinbarung vor, soweit sie die Verarbeitung personenbezogener Daten betreffen. Im Übrigen gilt der Hauptvertrag.

(4) Ansprechpartner für Datenschutzfragen beim Auftragsverarbeiter: datenschutz@biberware.com. Ein Datenschutzbeauftragter ist nach § 38 BDSG derzeit nicht zu benennen.

2. Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Gegenstand der Verarbeitung ist die Bereitstellung der Plattform Biber DPP zur Erstellung, Verwaltung und Veröffentlichung digitaler Produktpässe.

(2) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch vom Verantwortlichen veranlasste Veröffentlichung, Einschränken, Löschen und Vernichten.

(3) Zweck der Verarbeitung: ausschließlich die Erbringung der im Hauptvertrag vereinbarten Leistungen. Eine Verarbeitung für eigene Zwecke des Auftragsverarbeiters findet nicht statt.

(4) Dauer: Die Vereinbarung läuft für die Dauer des Hauptvertrages. Sie endet mit dessen Beendigung, die Regelungen zu Löschung und Rückgabe gelten fort.

(5) Kategorien betroffener Personen:

• Beschäftigte und sonstige Nutzer des Verantwortlichen,
• Ansprechpartner bei Lieferanten und Geschäftspartnern des Verantwortlichen (Lieferantennutzer),
• weitere natürliche Personen, deren Daten der Verantwortliche in Produktdaten oder Dokumente einstellt.

(6) Kategorien personenbezogener Daten:

• Stamm- und Kontaktdaten (Name, dienstliche E-Mail-Adresse, Organisationszugehörigkeit, Rolle),
• Anmelde- und Authentifizierungsdaten,
• Nutzungs- und Protokolldaten (Zeitstempel, IP-Adresse, aufgerufene Funktionen, Änderungshistorie),
• personenbezogene Daten, die der Verantwortliche selbst in Produktdaten, Freitextfelder oder hochgeladene Dokumente einstellt.

(7) Besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Verantwortliche stellt sicher, dass er solche Daten nicht in die Plattform einstellt.

(8) Der Verantwortliche stellt ferner sicher, dass er keine personenbezogenen Daten in Inhalte einstellt, die zur Veröffentlichung im öffentlich abrufbaren Teil eines Produktpasses oder in einen von der Plattform ausgestellten überprüfbaren Nachweis (Verifiable Credential) übernommen werden, es sei denn, hierfür besteht eine Rechtsgrundlage. Der Verantwortliche ist darauf hingewiesen, dass einmal veröffentlichte oder an Dritte ausgegebene Nachweise vom Auftragsverarbeiter nicht bei Dritten zurückgeholt werden können.

3. Weisungen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dies gilt auch für die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation.

(2) Die im Hauptvertrag festgelegten Leistungen sowie die Nutzung der Funktionen der Plattform durch den Verantwortlichen und seine Nutzer gelten als Weisung. Weitergehende Weisungen erteilt der Verantwortliche in Textform an die in Ziffer 1 Absatz 4 genannte Adresse.

(3) Der Verantwortliche benennt die zur Erteilung von Weisungen berechtigten Personen und hält diese Angaben aktuell. Ohne abweichende Mitteilung gelten die Inhaber administrativer Nutzerkonten des Verantwortlichen als weisungsberechtigt.

(4) Ist der Auftragsverarbeiter aufgrund des Rechts der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, der keine Weisung zugrunde liegt, teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(5) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

(6) Zusätzlicher Aufwand des Auftragsverarbeiters durch Weisungen, die über die im Hauptvertrag vereinbarten Leistungen hinausgehen, wird nach Aufwand zu den jeweils gültigen Sätzen des Auftragsverarbeiters vergütet.

4. Vertraulichkeit

(1) Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und stellt sicher, dass sie die Daten nur auf Weisung verarbeiten.

(2) Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

(3) Die mit der Verarbeitung befassten Personen werden mit den einschlägigen datenschutzrechtlichen Anforderungen vertraut gemacht.

5. Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Artikel 32 DSGVO.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter kann sie anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert; die jeweils gültige Fassung der Anlage 1 wird bereitgestellt.

(3) Der Auftragsverarbeiter überprüft die Wirksamkeit der Maßnahmen regelmäßig.

6. Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter nach Artikel 28 Absatz 2 Satz 1 DSGVO. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2; der Verantwortliche stimmt deren Einsatz zu.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor der beabsichtigten Hinzuziehung eines neuen oder der Ersetzung eines bestehenden Unterauftragsverarbeiters in Textform.

(3) Der Verantwortliche kann der Änderung innerhalb von 14 Tagen nach Zugang der Information aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Kann der Widerspruch nicht durch eine für beide Seiten zumutbare Lösung ausgeräumt werden, ist der Verantwortliche berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich zu kündigen. Weitergehende Ansprüche bestehen nicht.

(4) Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt, wie sie in dieser Vereinbarung festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten.

(5) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt und die nicht auf die Verarbeitung personenbezogener Daten des Verantwortlichen gerichtet sind, etwa Telekommunikations-, Reinigungs- oder Wartungsleistungen. Der Auftragsverarbeiter trifft auch hier angemessene Maßnahmen zum Schutz der Daten.

7. Unterstützung bei Betroffenenrechten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach den Artikeln 15 bis 22 DSGVO zu erfüllen. Hierfür stellt die Plattform insbesondere Funktionen zur Auskunft, Berichtigung, Export in einem strukturierten, gängigen und maschinenlesbaren Format sowie zur Löschung bereit.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, beantwortet dieser das Anliegen nicht selbst, sondern leitet es unverzüglich an den Verantwortlichen weiter.

(3) Über die Funktionen der Plattform hinausgehender Unterstützungsaufwand wird nach Aufwand vergütet.

8. Unterstützung bei den Artikeln 32 bis 36 DSGVO

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus den Artikeln 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Datenschutz-Folgenabschätzungen und bei einer vorherigen Konsultation der Aufsichtsbehörde. Ziffer 7 Absatz 3 gilt entsprechend.

9. Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, in der Regel innerhalb von 24 Stunden, auch außerhalb der Servicezeiten. Das gilt ebenso für sonstige Sicherheitsvorfälle, die Daten des Verantwortlichen betreffen.

(2) Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Fehlende Informationen werden nachgereicht.

(3) Der Auftragsverarbeiter trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung nachteiliger Folgen und dokumentiert den Vorfall.

(4) Meldungen an die Aufsichtsbehörde oder an betroffene Personen nimmt allein der Verantwortliche vor.

10. Löschung und Rückgabe nach Beendigung

(1) Nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie zurück, je nach Wahl des Verantwortlichen.

(2) Der Verantwortliche kann die Daten während des Abrufzeitraums von 30 Kalendertagen nach Vertragsende (§ 10 Absatz 4 Hauptvertrag) über die Exportfunktion der Plattform abrufen. Teilt er bis zum Ablauf dieser Frist keine abweichende Wahl mit, löscht der Auftragsverarbeiter die Daten nach Ablauf der Frist. Die Löschung von Sicherungskopien erfolgt spätestens mit deren regulärem Ablauf, längstens innerhalb von 90 Tagen nach Vertragsende.

(3) Von der Löschung ausgenommen sind Daten, die einer gesetzlichen Aufbewahrungspflicht unterliegen oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind (Artikel 17 Absatz 3 DSGVO), insbesondere Nachweise über den Vertragsschluss und die Annahme dieser Vereinbarung sowie Abrechnungsunterlagen. Für diese Daten wird die Verarbeitung entsprechend eingeschränkt.

(4) Der Auftragsverarbeiter bestätigt die Löschung auf Anforderung in Textform.

11. Nachweise und Überprüfungen

(1) Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus dieser Vereinbarung auf Anfrage in geeigneter Weise nach, insbesondere durch Vorlage der Dokumentation der technischen und organisatorischen Maßnahmen, durch Selbstauskünfte oder durch Zertifikate, Testate und Prüfberichte unabhängiger Stellen, auch solcher seiner Unterauftragsverarbeiter.

(2) Reichen diese Nachweise im Einzelfall nicht aus, kann der Verantwortliche oder ein von ihm beauftragter Prüfer nach vorheriger Ankündigung mit einer Frist von mindestens vier Wochen während der üblichen Geschäftszeiten eine Überprüfung durchführen. Überprüfungen finden höchstens einmal je Kalenderjahr statt, es sei denn, es besteht ein konkreter Anlass.

(3) Überprüfungen werden so durchgeführt, dass der Betrieb nicht unangemessen beeinträchtigt wird. Der beauftragte Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein und ist zur Vertraulichkeit zu verpflichten.

(4) Den Aufwand des Auftragsverarbeiters für Überprüfungen nach Absatz 2 trägt der Verantwortliche, es sei denn, die Überprüfung ergibt einen erheblichen Verstoß des Auftragsverarbeiters gegen diese Vereinbarung.

12. Verarbeitung in Drittländern

(1) Die Verarbeitung findet grundsätzlich in der Europäischen Union oder im Europäischen Wirtschaftsraum statt.

(2) Soweit ein Unterauftragsverarbeiter Daten in einem Drittland verarbeitet oder von dort aus auf Daten zugreifen kann, erfolgt dies nur auf Grundlage eines Angemessenheitsbeschlusses nach Artikel 45 DSGVO oder geeigneter Garantien nach Artikel 46 DSGVO, insbesondere der Standardvertragsklauseln der Europäischen Kommission, jeweils ergänzt um erforderliche zusätzliche Maßnahmen.

(3) Die jeweils einschlägige Grundlage ist in Anlage 2 angegeben.

13. Eigene Verantwortlichkeit des Auftragsverarbeiters

Der Auftragsverarbeiter ist eigener Verantwortlicher für Verarbeitungen, die er nicht im Auftrag des Kunden vornimmt, insbesondere für die Vertragsanbahnung und Vertragsverwaltung, die Abrechnung und Buchführung, die Erfüllung eigener gesetzlicher Pflichten sowie für die Auswertung sicherheitsrelevanter Protokolldaten zur Abwehr von Angriffen und zur Geltendmachung eigener Rechtsansprüche. Für diese Verarbeitungen gilt die Datenschutzerklärung des Auftragsverarbeiters.

14. Haftung

(1) Für die Haftung der Parteien untereinander gelten die Haftungsregelungen des Hauptvertrages, soweit nachfolgend nichts anderes bestimmt ist.

(2) Artikel 82 DSGVO sowie die Haftung im Außenverhältnis gegenüber betroffenen Personen und Aufsichtsbehörden bleiben unberührt.

15. Schlussbestimmungen

(1) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Dies gilt auch für die Änderung dieser Klausel.

(2) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der Sitz des Auftragsverarbeiters, soweit der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Anlage 1: Technische und organisatorische Maßnahmen nach Artikel 32 DSGVO

Stand: 24. September 2026

Vertraulichkeit

Zutrittskontrolle

Der Betrieb erfolgt in Rechenzentren der eingesetzten Infrastrukturanbieter. Der physische Zutrittsschutz wird durch diese sichergestellt (Zutrittskontrollsysteme, Videoüberwachung, Sicherheitspersonal, Protokollierung). Der Auftragsverarbeiter betreibt keine eigenen Rechenzentren.

Zugangskontrolle

• Authentifizierung ausschließlich über einen dedizierten Identity Provider (OIDC)
• Mehr-Faktor-Authentifizierung für alle Beschäftigten auf allen Systemen, für Plattform-Administratoren verpflichtend
• Passwortrichtlinien, zentraler Passwortmanager, Sperrung nach fehlgeschlagenen Anmeldeversuchen
• Administrative Zugänge zu Servern und Datenbanken ausschließlich über nicht öffentlich erreichbare Netzwerkpfade und Schlüsselverfahren, keine Passwortanmeldung
• Verschlüsselte Ablage von Betriebsgeheimnissen (SOPS/age)
• Arbeitsplatzgeräte mit Festplattenverschlüsselung und automatischer Bildschirmsperre

Zugriffskontrolle

• Rollenbasiertes Berechtigungskonzept bis auf Feldebene
• Berechtigungsvergabe nach dem Prinzip der geringsten Rechte
• Trennung von Administrations- und Anwendungsrollen
• Halbjährliche Überprüfung der vergebenen Zugriffsrechte
• Zugriff auf Produktivdaten durch Beschäftigte des Auftragsverarbeiters nur anlassbezogen zur Fehlerbehebung
• Protokollierung sicherheitsrelevanter Ereignisse und administrativer Zugriffe

Trennungskontrolle

• Mandantentrennung auf Anwendungs- und Datenbankebene
• Getrennte Umgebungen für Entwicklung, Test und Produktion
• Keine Verwendung von Produktivdaten in Test- und Entwicklungsumgebungen

Pseudonymisierung und Datenminimierung

• Erhebung auf das für den Betrieb erforderliche Maß beschränkt
• Reduktion und Filterung personenbezogener Inhalte in Fehler- und Diagnosedaten
• Beschränkte Aufbewahrungsdauer von Protokolldaten

Integrität

Weitergabekontrolle

• Transportverschlüsselung mit TLS 1.2 oder höher für alle externen Verbindungen, für die Datenbankverbindung und für alle eingesetzten Dienste
• Verschlüsselte Datenbankverbindungen (sslmode=verify-full)
• Verschlüsselung ruhender Daten auf Ebene der Infrastrukturanbieter, Dokumente im Objektspeicher zusätzlich mit eigenen Schlüsseln (SSE-C)
• Keine Übertragung personenbezogener Daten auf mobilen Datenträgern

Eingabekontrolle

• Protokollierung von Erstellung, Änderung und Löschung fachlicher Datensätze mit Zeitpunkt und Nutzerbezug
• Nachvollziehbare Versionierung veröffentlichter Produktpässe

Verfügbarkeit und Belastbarkeit

• Kontinuierliche, verschlüsselte Sicherung der Datenbank an einem entfernten Standort mit Wiederherstellung auf jeden Zeitpunkt der letzten zwei Tage
• Vierteljährlicher, protokollierter Wiederherstellungstest
• Zwei Anwendungsserver an unterschiedlichen Standorten, getesteter Wiederanlaufplan, Überwachung der Systeme mit Alarmierung
• Schutzmaßnahmen gegen Überlastung und Missbrauch (Rate Limiting)
• Automatische Sicherheitsaktualisierungen, automatisierte Abhängigkeitsprüfung, Bereitstellung der Infrastruktur als Code
• Behebung kritischer Schwachstellen innerhalb von 7 Tagen, hoher Schwachstellen innerhalb von 30 Tagen

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Datenschutzmanagement mit Verzeichnis der Verarbeitungstätigkeiten und Löschkonzept
• Verpflichtung der Beschäftigten auf Vertraulichkeit, jährliche Datenschutz- und Sicherheitsschulung
• Auftragskontrolle: Auswahl der Unterauftragsverarbeiter nach Datenschutzkriterien, vertragliche Bindung, regelmäßige Überprüfung
• Prozess zur Behandlung von Sicherheitsvorfällen und Meldung nach Ziffer 9
• Berücksichtigung des Datenschutzes bei der Entwicklung neuer Funktionen (Privacy by Design und by Default), Code-Review durch eine zweite Person vor Übernahme in die Produktion

Anlage 2: Unterauftragsverarbeiter

Stand: 24. September 2026

Die Fehlerdiagnose der Plattform wird auf eigener Infrastruktur betrieben und ist deshalb kein Unterauftragsverarbeiter.