Auftragsverarbeitungsvertrag

Fassung vom 13. November 2026. Diese deutsche Fassung ist rechtsverbindlich; die englische Fassung dient der Information.

1. Parteien und Geltungsbereich

1.1 Dieser Auftragsverarbeitungsvertrag („AVV“) wird zwischen dem Unternehmen, das Leisbase nutzt (Inhaber des Workspace, der „Verantwortliche“), und der FREIZEITLAB GmbH, Kalvarienbergstraße 22/10, 8020 Graz, Österreich, FN 671161b, Landesgericht für Zivilrechtssachen Graz, UID ATU83029839 (der „Auftragsverarbeiter“) geschlossen.

1.2 Er ist Teil des Vertrags über die Nutzung der Leisbase-Plattform nach den Allgemeinen Geschäftsbedingungen und wird gemeinsam mit diesen angenommen. In allen Fragen des Datenschutzes geht er den AGB vor. In den AGB definierte Begriffe haben hier dieselbe Bedeutung; „DSGVO“ bezeichnet die Verordnung (EU) 2016/679.

1.3 Unterliegt der Verantwortliche dem schweizerischen Bundesgesetz über den Datenschutz (DSG), gilt dieser AVV auch für die Verarbeitung nach dem DSG; Verweise auf die DSGVO sind als Verweise auf die entsprechenden Bestimmungen des DSG zu lesen, und der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte ist zusätzlich zuständige Aufsichtsbehörde.

2. Gegenstand, Art und Zweck der Verarbeitung

2.1 Der Auftragsverarbeiter stellt dem Verantwortlichen die Leisbase-Plattform bereit: die Verwaltungsoberfläche (Panel), die Desktop- und Mobil-Apps, die einbettbaren Widgets und Gästeseiten (Buchungen, Gutscheine, Produkte, Check-in und Haftungsverzicht, Formulare, Chat) sowie die damit verbundenen Leistungen wie Zahlungsanbindungen, Nachrichtenversand, Speicherung, Berichte und KI-Funktionen.

2.2 Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen: Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Auswerten, Übermitteln an die vom Verantwortlichen gewählten Empfänger, Bereitstellen, Sichern, Einschränken und Löschen. Einziger Zweck ist die Erbringung der vertraglichen Leistungen.

2.3 Welche Verarbeitungen stattfinden, hängt von den Modulen und Integrationen ab, die der Verantwortliche nutzt. Anlage 3 beschreibt sie je Modul.

2.4 Nicht von diesem AVV erfasst sind Verarbeitungen, für die der Auftragsverarbeiter selbst Verantwortlicher ist: das Kundenkonto und die Abrechnung des Verantwortlichen, der Schutz der Plattform vor Missbrauch und eigene Nachrichten des Auftragsverarbeiters an Panel-Nutzer. Die Datenschutzerklärung beschreibt sie. Der Auftragsverarbeiter darf außerdem zusammengefasste, anonymisierte Statistiken ohne Bezug zum Verantwortlichen, seinen Nutzern oder Gästen erstellen, um die Plattform zu betreiben, abzusichern und zu verbessern, und wertet Fragen aus, die Nutzer dem Hilfe-Assistenten in der Plattform zur Bedienung stellen, um seine Hilfeseiten zu verbessern. Personenbezogene Daten der Gäste des Verantwortlichen verwendet er nie für eigene Zwecke, verkauft sie nie und führt sie nie workspaceübergreifend zusammen.

3. Dauer

Dieser AVV gilt für die Dauer des Nutzungsvertrags und darüber hinaus, bis der Auftragsverarbeiter die Daten nach Punkt 12 gelöscht hat.

4. Art der Daten und betroffene Personen

4.1 Die Kategorien personenbezogener Daten und betroffener Personen ergeben sich aus Anlage 3.

4.2 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Die Plattform ist dafür nicht ausgelegt. Sie entstehen nur, wenn der Verantwortliche sie einbringt, etwa durch eigene Fragen in Formularen oder Haftungsverzichten, durch Krankenstände seiner Mitarbeiter (verarbeitet werden nur Tatsache und Zeitraum, keine Diagnosen) oder durch Inhalte von Screenshots und Dokumenten. Der Verantwortliche stellt eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO sicher. Der Auftragsverarbeiter schützt solche Daten mit denselben Maßnahmen wie alle anderen Daten.

4.3 Minderjährige: Daten Minderjähriger werden insbesondere bei Haftungsverzichten verarbeitet, eingegeben von einem Elternteil oder einer erziehungsberechtigten Person. Ob und in welchem Umfang er solche Daten erhebt, entscheidet der Verantwortliche; er stellt die erforderliche Einwilligung sicher.

5. Weisungen

5.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer, sofern er nicht durch Unionsrecht oder österreichisches Recht dazu verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

5.2 Weisungen sind dieser AVV, der Nutzungsvertrag, die Einstellungen und Handlungen des Verantwortlichen und seiner Nutzer im Panel und in den Apps sowie Einzelweisungen in Textform an support@leisbase.com. Einzelweisungen erteilen der Inhaber des Workspace oder eine Person mit Administratorrechten.

5.3 Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

5.4 Weisungen, die über den vertraglichen Leistungsumfang hinausgehen, werden als Änderungswunsch behandelt; der Auftragsverarbeiter darf dafür ein angemessenes Entgelt verlangen, das er vorab bekannt gibt.

6. Pflichten des Auftragsverarbeiters

6.1 Personen mit Zugang zu den Daten sind zum Datengeheimnis nach § 6 DSG und zur Vertraulichkeit verpflichtet, auch nach Ende ihrer Tätigkeit. Sie erhalten Zugang nur, soweit ihre Aufgabe es erfordert.

6.2 Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt, und dokumentiert wesentliche Änderungen.

6.3 Zugriffe von Mitarbeitern des Auftragsverarbeiters auf den Workspace des Verantwortlichen, etwa für Support, erfolgen nur, soweit sie für die Leistungserbringung erforderlich sind oder der Verantwortliche sie wünscht, über ein gesondertes Administrationskonto, mit einem Hinweis im Panel, und werden protokolliert.

6.4 Der Auftragsverarbeiter führt ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

6.5 Ansprechpartner für den Datenschutz ist die Geschäftsführung, erreichbar unter support@leisbase.com. Ein Datenschutzbeauftragter ist derzeit gesetzlich nicht erforderlich; wird einer bestellt, teilt der Auftragsverarbeiter die Kontaktdaten mit.

6.6 Verlangt eine Behörde oder ein Dritter Zugang zu Daten des Verantwortlichen, verweist der Auftragsverarbeiter an den Verantwortlichen, informiert diesen unverzüglich, soweit dies nicht gesetzlich verboten ist, und legt Daten nur offen, soweit er gesetzlich dazu verpflichtet ist, beschränkt auf das Erforderliche.

7. Unterstützung des Verantwortlichen

7.1 Betroffenenrechte: Das Panel stellt Werkzeuge bereit, mit denen der Verantwortliche Anträge nach Kapitel III DSGVO selbst bearbeiten kann, insbesondere den Export der Daten eines Gastes (Auskunft, Datenübertragbarkeit) und die Löschung der personenbezogenen Daten eines Gastes (Löschung) sowie den Dateiexport. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, verweist er sie an den Verantwortlichen und informiert diesen unverzüglich; er beantwortet den Antrag nicht selbst.

7.2 Weitere Pflichten: Unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen bei dessen Pflichten nach Art. 32 bis 36 DSGVO, insbesondere mit Informationen für eine Datenschutz-Folgenabschätzung (etwa für den Desktop-Zeittracker mit Kontrollfunktionen) und für eine vorherige Konsultation der Aufsichtsbehörde.

7.3 Die Werkzeuge im Panel und die Angaben in diesem AVV sind in den Entgelten enthalten. Für darüber hinausgehende Unterstützung darf der Auftragsverarbeiter ein angemessenes Entgelt verlangen, das er vorab bekannt gibt, es sei denn, die Unterstützung ist wegen eines Verstoßes des Auftragsverarbeiters erforderlich.

8. Verletzungen des Schutzes personenbezogener Daten

8.1 Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich und spätestens binnen 48 Stunden, nachdem sie ihm bekannt geworden ist, per E-Mail an den Inhaber des Workspace und im Panel.

8.2 Die Meldung enthält, soweit bekannt: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Anlaufstelle. Noch nicht verfügbare Informationen werden ohne unangemessene weitere Verzögerung schrittweise nachgereicht.

8.3 Der Auftragsverarbeiter ergreift unverzüglich Maßnahmen, um die Verletzung einzudämmen und ihre Folgen zu mindern, dokumentiert sie und unterstützt den Verantwortlichen bei dessen Meldung an die Aufsichtsbehörde und Benachrichtigung der betroffenen Personen (Art. 33 und 34 DSGVO). Diese Meldungen nimmt der Verantwortliche vor; der Auftragsverarbeiter meldet nur auf dessen Verlangen in seinem Namen.

9. Sub-Auftragsverarbeiter

9.1 Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Sub-Auftragsverarbeiter. Viele davon werden nur tätig, wenn der Verantwortliche das entsprechende Modul oder die Integration nutzt; Anlage 2 gibt dies je Anbieter an.

9.2 Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen, bevor er einen Sub-Auftragsverarbeiter hinzuzieht oder ersetzt, per E-Mail an den Inhaber des Workspace und im Panel, und aktualisiert Anlage 2.

9.3 Innerhalb dieser vier Wochen kann der Verantwortliche aus berechtigten datenschutzrechtlichen Gründen in Textform widersprechen. Die Parteien suchen dann eine Lösung, etwa den Verzicht auf die betroffene Funktion. Gelingt das nicht, kann der Verantwortliche die betroffene Leistung oder den Nutzungsvertrag zum Zeitpunkt der Änderung kostenlos kündigen; für den Zeitraum danach bereits bezahlte Entgelte werden anteilig erstattet.

9.4 Muss ein Sub-Auftragsverarbeiter aus dringenden Gründen kurzfristig ersetzt werden, etwa wegen eines Sicherheitsvorfalls oder der Einstellung eines Dienstes, kann die Frist kürzer sein; der Auftragsverarbeiter informiert dann sofort, und das Widerspruchsrecht nach Punkt 9.3 gilt entsprechend.

9.5 Der Auftragsverarbeiter verpflichtet jeden Sub-Auftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses AVV gleichwertig sind (Art. 28 Abs. 4 DSGVO), prüft ihn vor dem Einsatz und haftet gegenüber dem Verantwortlichen für deren Einhaltung.

9.6 Keine Sub-Auftragsverarbeiter sind Dienste, die der Verantwortliche selbst beauftragt und mit Leisbase verbindet – etwa sein eigenes Konto bei einem Zahlungsanbieter (Stripe, PayPal, Revolut, N-Genius, Telr), sein eigener Mailserver oder sein E-Mail-Postfach, sein Kalender, seine Meta-, Google- oder Werbekonten, von ihm gewählte Versanddienstleister oder eine KI-App, der er über die KI-Konnektoren Zugriff gewährt – sowie Zahlungsanbieter, soweit sie als eigenständige Verantwortliche handeln. Es gelten die Verträge des Verantwortlichen mit diesen Anbietern.

10. Ort der Verarbeitung und Übermittlungen in Drittländer

10.1 Die Daten des Verantwortlichen werden in Rechenzentren in der Europäischen Union gespeichert: Anwendung, Datenbanken und Sicherungen bei Hetzner sowie Dateien wie Chat-Anhänge, Aufgabendateien und Exporte in Cloudflare R2 mit EU-Rechtsraum.

10.2 Einige Sub-Auftragsverarbeiter verarbeiten Daten außerhalb der EU bzw. des EWR oder können von dort darauf zugreifen. Übermittlungen erfolgen nur nach Kapitel V DSGVO: auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (einschließlich des EU-US Data Privacy Framework für zertifizierte Empfänger), der Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 der Kommission („SCC“) oder verbindlicher interner Datenschutzvorschriften. Anlage 2 gibt die Grundlage je Anbieter an. Eine Zusammenfassung der Bewertung dieser Übermittlungen erhält der Verantwortliche auf Anfrage.

10.3 Hat der Verantwortliche seinen Sitz in einem Staat außerhalb der EU bzw. des EWR ohne Angemessenheitsbeschluss, gilt für die Übermittlung seiner Daten vom Auftragsverarbeiter an ihn Modul 4 (Auftragsverarbeiter an Verantwortlichen) der SCC, das durch Verweis Teil dieses AVV ist; die Anlagen 1 bis 3 dieses AVV enthalten die für die SCC erforderlichen Angaben, und für die SCC werden österreichisches Recht und die Gerichte Österreichs gewählt. Bei Widersprüchen gehen die SCC vor.

11. Nachweise und Kontrollen

11.1 Auf Anfrage stellt der Auftragsverarbeiter dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, insbesondere diesen AVV, die Beschreibung der Maßnahmen, die Liste der Sub-Auftragsverarbeiter und Antworten auf einen angemessenen Sicherheitsfragebogen.

11.2 Reichen diese Informationen nicht aus, kann der Verantwortliche selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer, der kein Mitbewerber des Auftragsverarbeiters ist, eine Kontrolle durchführen: mindestens 30 Tage im Voraus angekündigt, während der Geschäftszeiten, ohne Störung des Betriebs, ohne Zugriff auf Daten anderer Kunden und höchstens einmal in zwölf Monaten. Nach einer Verletzung des Schutzes personenbezogener Daten oder auf Verlangen einer Aufsichtsbehörde ist eine Kontrolle auch kurzfristig möglich.

11.3 Die Kosten einer Kontrolle trägt der Verantwortliche, es sei denn, sie ergibt einen wesentlichen Verstoß des Auftragsverarbeiters.

12. Rückgabe und Löschung nach Vertragsende

12.1 Während der Vertragslaufzeit kann der Verantwortliche seine Daten jederzeit im Panel exportieren.

12.2 Nach Vertragsende plant der Auftragsverarbeiter die Löschung des Workspace ein; der Verantwortliche kann sie auch selbst in den Einstellungen einplanen. 30 Tage ab der Einplanung kann der Workspace wiederhergestellt werden, damit der Verantwortliche seine Daten noch exportieren kann. Danach löscht der Auftragsverarbeiter die Datenbank des Workspace und alle seine Dateien endgültig.

12.3 Daten in verschlüsselten Sicherungen werden mit deren Ablauf gelöscht: Datenbank-Sicherungen spätestens 13 Monate nach ihrer Erstellung, Sicherungskopien von Dateien spätestens 12 Monate nach der Löschung des Workspace. Bis dahin werden Sicherungen nur zur Wiederherstellung von Daten nach einem Vorfall verwendet.

12.4 Eine längere Aufbewahrung erfolgt nur, soweit Unionsrecht oder österreichisches Recht sie verlangt. Der Verantwortliche hat seine eigenen Rechnungen und Buchhaltungsunterlagen vor Vertragsende zu exportieren und aufzubewahren.

12.5 Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

13. Pflichten des Verantwortlichen

13.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für Rechtsgrundlagen, Einwilligungen (etwa für Werbenachrichten) und die Information der betroffenen Personen nach Art. 13 und 14 DSGVO, etwa seiner Gäste in seiner Datenschutzerklärung.

13.2 Nutzt er Funktionen, die geeignet sind, Leistung oder Verhalten seiner Mitarbeiter zu kontrollieren (etwa Screenshots und Aktivitätserfassung des Desktop-Zeittrackers, Standort beim Ein- und Ausstempeln sowie, wenn der Betrieb es einschaltet, ob das Handy während der Schicht den Bereich des Betriebs verlässt, oder Anrufaufzeichnung), stellt er die arbeitsrechtlichen Voraussetzungen sicher – in Österreich insbesondere eine Betriebsvereinbarung oder die Zustimmung der Mitarbeiter nach §§ 96 und 96a ArbVG bzw. § 10 AVRAG – und prüft, ob eine Datenschutz-Folgenabschätzung erforderlich ist.

13.3 Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

14. Haftung

Gegenüber betroffenen Personen haften die Parteien für Schäden aus Verstößen gegen die DSGVO nach Art. 82 DSGVO. Im Verhältnis der Parteien gelten die Haftungsregeln der AGB, soweit gesetzlich zulässig.

15. Schlussbestimmungen

15.1 Der Auftragsverarbeiter veröffentlicht Änderungen dieses AVV als neue Fassung auf dieser Seite und im Panel und informiert den Verantwortlichen per E-Mail. Für Änderungen gilt Punkt 23 der AGB; gesetzlich oder behördlich vorgegebene Änderungen und die Aktualisierung der Anlage 2 nach Punkt 9 folgen ihren eigenen Regeln. Individuelle Vereinbarungen bedürfen der Textform.

15.2 Ist eine Bestimmung unwirksam, bleibt der Rest wirksam; sie wird durch die Bestimmung ersetzt, die dem Zweck der DSGVO am nächsten kommt.

15.3 Es gilt österreichisches Recht. Der Gerichtsstand richtet sich nach den AGB. Bei Abweichungen zwischen den Sprachfassungen geht die deutsche Fassung vor.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zutritts- und Zugangskontrolle

• Server und Sicherungen in zertifizierten Rechenzentren der Hetzner Online GmbH in der EU, Dateien in Cloudflare R2 mit EU-Rechtsraum; physischer Zutritt nur für Personal der Rechenzentren.
• Administrativer Serverzugang nur per SSH-Schlüssel für einen kleinen, namentlich bestimmten Personenkreis; Firewall; Datenbanken und interne Dienste nicht aus dem Internet erreichbar.
• Passwörter nur als bcrypt-Hashwerte gespeichert. Anmeldung im Panel mit Passwortrichtlinie (mindestens 12 Zeichen, Abgleich mit bekannten geleakten Passwörtern), Zwei-Faktor-Authentifizierung (TOTP; verpflichtend für Konten mit Benutzernamen-Anmeldung), Passkeys, Anmeldung mit Google, Hinweis bei jeder neuen Anmeldung, optionale Länderbeschränkung und Übersicht der Sitzungen, die beendet werden können.
• Vom Verantwortlichen für seine Nutzer vergebene Passwörter sind vorläufig und laufen nach 72 Stunden ab.

Zugriffskontrolle und Trennung

• Eine eigene Datenbank und ein eigener Dateispeicher je Workspace.
• Rollen und Berechtigungen je Nutzer, Beschränkung auf einzelne Standorte, gesonderte Berechtigungen für sensible Funktionen (etwa Export und Löschung von Gästedaten, Stornieren von Zahlungen, Kontrollfunktionen).
• Support-Zugriffe durch Mitarbeiter des Auftragsverarbeiters nur über ein gesondertes Administrationskonto, mit Hinweis im Panel und Protokoll.
• Zugangsdaten angebundener Dienste (API-Schlüssel, Postfachpasswörter, Tokens) werden verschlüsselt gespeichert; Screenshots des Zeittrackers und Dokumente werden verschlüsselt gespeichert.
• Vollständige Kartennummern werden nicht auf den Servern des Auftragsverarbeiters verarbeitet; Kartenzahlungen laufen über die Zahlungsseiten oder Eingabefelder der Zahlungsanbieter.
• Gemeinsam genutzte Geräte im Betrieb können nach einer Zeit ohne Nutzung mit einer PIN gesperrt werden.

Weitergabekontrolle

• Verschlüsselte Übertragung (TLS) für alle Verbindungen von Browsern, Apps und Widgets sowie zu Sub-Auftragsverarbeitern.
• Schutz vor Angriffen und Überlastung durch Cloudflare (DDoS-Schutz, Web Application Firewall), mit Ausweichroute über bunny.net.
• Dateien, die Gäste an den Chatbot senden oder die im Team-Chat geteilt werden, werden auf Schadsoftware geprüft.
• Partnerschnittstellen nur mit eigenen Zugangsdaten und beschränkten Rechten; KI-Konnektoren nur mit Zustimmung des Nutzers je Workspace und Standort, Änderungen nur mit gesonderter Freigabe.

Eingabekontrolle

• Änderungs- und Aktivitätsprotokolle für wichtige Datensätze (etwa Bestellungen, Gutscheine, Kunden), Protokolle der Anmeldungen und der Support-Zugriffe.

Verfügbarkeit und Belastbarkeit

• Datenbanken werden stündlich (48 Stunden aufbewahrt) und jede Nacht vollständig gesichert, jede Datei zusätzlich einmal; alle Sicherungen mit AES-256 verschlüsselt in getrenntem Speicher an einem anderen Standort, aufbewahrt als 14 tägliche, 8 wöchentliche und 12 monatliche Kopien; Wiederherstellung je Workspace möglich; die Aktualität der Sicherungen wird überwacht.
• Überwachung von Fehlern (Sentry, ohne Übermittlung standardmäßiger personenbezogener Daten), Warteschlangen und Verfügbarkeit; automatischer Wechsel des Auslieferungsnetzes bei regionalen Ausfällen.

Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen

• Datensparsame Voreinstellungen: Website-Statistik ohne Cookies und ohne Speicherung der IP-Adresse, Standort nur gerundet; Signale „Global Privacy Control“ und „Do Not Track“ werden beachtet.
• Automatische Löschung nach festgelegten Fristen (etwa nicht abgeschlossene Bestellungen, Änderungsprotokolle, Nachrichtenprotokolle), Löschung oder Anonymisierung einzelner Gäste auf Antrag, mit Datenschutzprotokoll.
• KI-Anbieter nur auf Grundlage von Verträgen, die die Nutzung der Daten zum Training ihrer Modelle ausschließen; Werkzeuge für KI-Berichte haben keinen Zugriff auf Kontaktdaten von Gästen.

Organisation und Überprüfung

• Alle Mitarbeiter sind zum Datengeheimnis verpflichtet; Zugriff nach dem Need-to-know-Prinzip.
• Festgelegtes Verfahren für Sicherheitsvorfälle mit Bewertung, Eindämmung, Dokumentation und Meldung nach Punkt 8.
• Regelmäßige Sicherheitsprüfungen des Codes und Behebung gefundener Schwachstellen; Auswahl und Kontrolle der Sub-Auftragsverarbeiter nach Punkt 9.

Anlage 2: Sub-Auftragsverarbeiter

Stand 13. November 2026. Mit „immer“ gekennzeichnete Anbieter verarbeiten Daten für jeden Workspace; alle anderen nur, wenn der Verantwortliche das genannte Modul oder die Integration nutzt.

Zu PayPal, Revolut und anderen Zahlungsanbietern, die der Verantwortliche mit seinem eigenen Konto verbindet, siehe Punkt 9.6.

Anlage 3: Verarbeitung je Modul

Verarbeitet werden nur Daten der Module und Integrationen, die der Verantwortliche nutzt.