Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer des Auftrags

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten von Teilnehmenden des browserbasierten Testverfahrens („Potenzialanalyse“) im Rahmen der Bereitstellung der Plattform als Software-as-a-Service, wie im Hauptvertrag beschrieben. Umfasst sind insbesondere die Erhebung der Testantworten über die Teststrecke, die Speicherung und Auswertung der Antworten, die Erzeugung und Bereitstellung von Ergebnis-Reports (PDF) im Portal des Verantwortlichen sowie der Versand transaktionaler E-Mails an Teilnehmende (Einladung, Erinnerung, Zustellung des eigenen Ergebnis-Reports als PDF, Ergebnis-Abruf), soweit der Verantwortliche diese Funktionen nutzt.

(2) Die Dauer des Auftrags entspricht der Laufzeit des Hauptvertrags. Der AVV beginnt mit dessen Abschluss und endet mit dessen Beendigung; § 12 (Löschung und Rückgabe) bleibt darüber hinaus anwendbar, bis sämtliche Auftragsdaten gelöscht oder zurückgegeben sind.

(3) Eine ordentliche Kündigung dieses AVV isoliert vom Hauptvertrag ist ausgeschlossen. Das Recht beider Parteien zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt; ein wichtiger Grund liegt für den Verantwortlichen insbesondere vor, wenn der Auftragsverarbeiter schwerwiegend oder nachhaltig gegen diesen AVV oder gegen Pflichten aus Art. 28 DSGVO verstößt.

§ 2 Art und Zweck der Verarbeitung

(1) Art der Verarbeitung: Erhebung, Erfassung, Organisation, Ordnen, Speicherung, Anpassung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung an den Verantwortlichen und die von ihm benannten Trainerinnen und Trainer, Verschlüsselung, Pseudonymisierung, Einschränkung, Löschung und Vernichtung personenbezogener Daten — jeweils ausschließlich im Rahmen der in § 1 beschriebenen Leistungen.

(2) Zweck der Verarbeitung ist die Durchführung des Testverfahrens für den Verantwortlichen: die Ermittlung von Verhaltenspräferenz-Profilen der Teilnehmenden auf Grundlage ihrer Selbsteinschätzung, die Aufbereitung der Ergebnisse in Reports zur Vorbereitung einer dokumentierten menschlichen Entscheidung des Verantwortlichen sowie die Qualitätssicherung des Verfahrens.

(3) Der Auftragsverarbeiter verwendet die Auftragsdaten für keine anderen Zwecke, insbesondere nicht für eigene Zwecke, nicht zu Werbezwecken und nicht zur Bildung übergreifender Profile. Eine ausschließlich automatisierte Letztentscheidung im Sinne des Art. 22 DSGVO findet auf der Plattform nicht statt.

(4) Die Verarbeitung personenbezogener Daten findet in der Bundesrepublik Deutschland statt. Drittlandbezüge bestehen ausschließlich in dem in Anlage 2 beschriebenen Umfang (Content-Delivery-Netzwerk) und nur unter den Voraussetzungen der Art. 44 ff. DSGVO und im Rahmen von § 8.

§ 3 Art der personenbezogenen Daten

Gegenstand der Verarbeitung sind folgende Datenarten der Teilnehmenden:

• Testantworten (Selbsteinschätzungen im Rahmen der Potenzialanalyse),
• Geburtsjahr (zur Bestätigung des Mindestalters von 18 Jahren),
• Vor- und Nachname — gespeichert ausschließlich AES-256-GCM-verschlüsselt,
• optional eine E-Mail-Adresse (für Einladung, Erinnerung, die Zustellung des eigenen Ergebnis-Reports als PDF und den Ergebnis-Abruf per Einmal-Code),
• Bearbeitungszeiten je Frage (ausschließlich zur Qualitätssicherung des Verfahrens),
• aus den Antworten erzeugte Ergebnis-Reports (PDF),
• Einwilligungs- und Verfahrensmetadaten (Zeitpunkt der Einwilligung, Status des Durchlaufs, Zugangs-Code-Zuordnung).

§ 4 Kategorien betroffener Personen

Betroffene Personen sind die vom Verantwortlichen zum Testverfahren eingeladenen Kandidatinnen und Kandidaten bzw. Teilnehmenden (natürliche Personen, mindestens 18 Jahre alt). Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO sind nicht Gegenstand des Auftrags; der Verantwortliche stellt sicher, dass solche Daten nicht in Freitext- oder Namensfelder eingegeben werden.

§ 5 Weisungsrecht und Weisungsform

(1) Der Auftragsverarbeiter verarbeitet die Auftragsdaten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).

(2) Der Hauptvertrag, dieser AVV und die vom Verantwortlichen in der Plattform vorgenommenen Konfigurationen (insbesondere Anlage und Verwaltung von Zugangs-Codes, Einladungs- und Erinnerungsversand, Lösch- bzw. Aufbewahrungsfristen) gelten als dokumentierte Erstweisung. Einzelweisungen darüber hinaus erteilt der Verantwortliche in Textform (z. B. per E-Mail an die im Impressum genannte Adresse); mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Weisungsberechtigt sind die vom Verantwortlichen benannten Konto-Administratorinnen und -Administratoren; empfangsberechtigt beim Auftragsverarbeiter ist die Geschäftsleitung. Änderungen der weisungsberechtigten Personen teilen die Parteien einander in Textform mit.

(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.

(5) Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, kann der Auftragsverarbeiter als Änderungsverlangen behandeln; entstehender Mehraufwand wird gesondert vergütet, sofern die Weisung nicht zur Erfüllung gesetzlicher Pflichten erforderlich ist.

§ 6 Vertraulichkeit

(1) Der Auftragsverarbeiter gewährleistet, dass sich alle zur Verarbeitung der Auftragsdaten befugten Personen vor Aufnahme ihrer Tätigkeit zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der Tätigkeit und nach Beendigung dieses AVV fort.

(2) Der Zugriff auf Auftragsdaten wird nur Personen gewährt, die ihn zur Erfüllung ihrer Aufgaben benötigen (Need-to-know-Prinzip). Der Auftragsverarbeiter belehrt die befugten Personen über die für sie maßgeblichen Datenschutzpflichten und über die Weisungsbindung.

§ 7 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen und hält sie für die Dauer des Auftrags aufrecht. Die Maßnahmen gewährleisten unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen ein dem Risiko angemessenes Schutzniveau (Art. 32 Abs. 1 DSGVO).

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie weiterentwickeln und durch gleichwertige oder bessere Maßnahmen ersetzen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert; auf Anforderung stellt der Auftragsverarbeiter dem Verantwortlichen die jeweils aktuelle Fassung der Maßnahmenbeschreibung zur Verfügung.

§ 8 Unterauftragsverhältnisse

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung (Art. 28 Abs. 2 Satz 1 DSGVO), die in Anlage 2 aufgeführten Unterauftragsverarbeiter einzusetzen. Nicht als Unterauftragsverhältnisse gelten Nebenleistungen Dritter ohne Auftragsdatenbezug (z. B. Telekommunikationsleistungen, Wach- und Reinigungsdienste); auch insoweit sorgt der Auftragsverarbeiter für angemessene Vertraulichkeits- und Schutzvorkehrungen.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen vorab in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann der Änderung innerhalb von 30 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Ist eine einvernehmliche Lösung nicht möglich und setzt der Auftragsverarbeiter den neuen Unterauftragsverarbeiter gleichwohl ein, steht dem Verantwortlichen ein Sonderkündigungsrecht für den Hauptvertrag zum Zeitpunkt des Einsatzbeginns zu.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter im Wege eines Vertrags nach Art. 28 Abs. 4 DSGVO dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

(4) Erfolgt bei einem Unterauftragsverarbeiter eine Übermittlung in ein Drittland, stellt der Auftragsverarbeiter sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (insbesondere Angemessenheitsbeschluss nach Art. 45 DSGVO oder EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO nebst erforderlicher zusätzlicher Maßnahmen). Der jeweilige Übermittlungsmechanismus ist in Anlage 2 ausgewiesen.

§ 9 Unterstützungspflichten des Auftragsverarbeiters

(1) Betroffenenrechte: Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Art. 12 bis 23 DSGVO nachzukommen (Art. 28 Abs. 3 Satz 2 lit. e DSGVO) — insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerruf der Einwilligung. Die Plattform stellt hierfür Export-, Korrektur- und Löschfunktionen bzw. eine Bearbeitung auf Zuruf bereit.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst inhaltlich, sofern keine gesetzliche Pflicht zur unmittelbaren Beantwortung besteht.

(3) Sicherheit und Folgenabschätzung: Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen an die Aufsichtsbehörde, Benachrichtigung betroffener Personen, Datenschutz-Folgenabschätzung, vorherige Konsultation) (Art. 28 Abs. 3 Satz 2 lit. f DSGVO).

(4) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).

(5) Unterstützungsleistungen nach diesem Paragrafen erbringt der Auftragsverarbeiter im marktüblichen Umfang unentgeltlich; bei außergewöhnlichem, vom Verantwortlichen veranlasstem Mehraufwand können die Parteien eine angemessene Vergütung vereinbaren. Gesetzliche Pflichten bleiben von einer Vergütungsfrage unberührt.

§ 10 Meldepflichten bei Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Auftragsdaten betrifft, unverzüglich nach Bekanntwerden, spätestens jedoch innerhalb von 48 Stunden (Art. 33 Abs. 2 DSGVO). Die Meldung erfolgt in Textform an die beim Auftragsverarbeiter hinterlegte Kontaktadresse des Verantwortlichen.

(2) Die Meldung enthält, soweit bereits verfügbar, mindestens: eine Beschreibung der Art der Verletzung (einschließlich, soweit möglich, der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze), Namen und Kontaktdaten der Anlaufstelle beim Auftragsverarbeiter, eine Beschreibung der wahrscheinlichen Folgen der Verletzung sowie der ergriffenen oder vorgeschlagenen Abhilfe- und Minderungsmaßnahmen. Noch nicht verfügbare Informationen werden ohne unangemessene Verzögerung nachgereicht.

(3) Der Auftragsverarbeiter dokumentiert Verletzungen einschließlich aller damit zusammenhängenden Fakten, Auswirkungen und Abhilfemaßnahmen und unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegen dem Verantwortlichen; der Auftragsverarbeiter nimmt sie nicht ohne dessen Weisung vor, sofern keine eigene gesetzliche Pflicht besteht.

§ 11 Kontrollrechte und Audits

(1) Der Verantwortliche ist berechtigt, die Einhaltung dieses AVV und der Pflichten aus Art. 28 DSGVO zu überprüfen. Der Auftragsverarbeiter ermöglicht und unterstützt Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchgeführt werden (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).

(2) Der Nachweis kann zunächst durch geeignete Unterlagen erbracht werden: aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen (z. B. Wirtschaftsprüfer, Datenschutzauditoren), Selbstauskünfte oder geeignete Zertifizierungen nach Art. 42 DSGVO. Vor-Ort-Kontrollen kommen in Betracht, soweit die vorgelegten Nachweise im Einzelfall keine hinreichende Klärung ermöglichen.

(3) Vor-Ort-Kontrollen werden mit angemessener Vorlauffrist von mindestens 14 Kalendertagen in Textform angekündigt, finden zu üblichen Geschäftszeiten statt und werden so durchgeführt, dass der Betrieb des Auftragsverarbeiters und der Schutz der Daten anderer Kunden nicht unangemessen beeinträchtigt werden; sie sind auf höchstens eine Kontrolle pro Kalenderjahr begrenzt, es sei denn, ein konkreter Anlass (insbesondere eine Verletzung nach § 10 oder eine Anordnung einer Aufsichtsbehörde) erfordert eine weitere Kontrolle. Die Ankündigungsfrist entfällt bei aufsichtsbehördlichen Kontrollen, soweit die Behörde dies verlangt.

(4) Kontrollrechte der zuständigen Aufsichtsbehörden bleiben unberührt; der Auftragsverarbeiter duldet und unterstützt solche Kontrollen im gesetzlich gebotenen Umfang und informiert den Verantwortlichen über auf dessen Auftragsdaten bezogene aufsichtsbehördliche Maßnahmen, soweit rechtlich zulässig.

§ 12 Löschung und Rückgabe nach Auftragsende

(1) Während der Laufzeit werden Daten aus dem Testverfahren (Antworten, Ergebnisse, Reports) nach der mandantenspezifisch vereinbarten Frist gelöscht; die Standardfrist beträgt 6 Monate nach Abschluss des jeweiligen Verfahrens. Der Verantwortliche kann im Rahmen der Plattformkonfiguration bzw. per Weisung abweichende Fristen bestimmen.

(2) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche noch vorhandenen Auftragsdaten datenschutzgerecht oder gibt sie in einem gängigen, strukturierten Format zurück und löscht anschließend die bei ihm verbliebenen Kopien (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Trifft der Verantwortliche innerhalb von 30 Tagen nach Vertragsende keine Wahl, ist der Auftragsverarbeiter zur Löschung berechtigt und verpflichtet.

(3) Von der Löschpflicht ausgenommen sind Daten, deren Aufbewahrung dem Auftragsverarbeiter durch das Recht der Union oder der Mitgliedstaaten vorgeschrieben ist (insbesondere handels- und steuerrechtliche Aufbewahrungspflichten), sowie technisch bedingte Sicherungskopien bis zu deren turnusmäßiger Überschreibung. Solche Daten werden gesperrt, nur für den jeweiligen Aufbewahrungszweck vorgehalten und nach Ablauf der Pflicht gelöscht; die Pflichten dieses AVV gelten insoweit fort.

(4) Die Löschung wird protokolliert; auf Anforderung bestätigt der Auftragsverarbeiter dem Verantwortlichen die Löschung in Textform.

§ 13 Haftung

(1) Für die Haftung der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten gilt Art. 82 DSGVO. Im Innenverhältnis stellen die Parteien einander von Ansprüchen betroffener Personen in dem Umfang frei, in dem die jeweils andere Partei den Schaden nach Art. 82 Abs. 2 und 3 DSGVO zu vertreten hat.

(2) Im Übrigen gelten für die Haftung der Parteien untereinander die Haftungsregelungen des Hauptvertrags (§ 10 der AGB) entsprechend.

(3) Bußgelder nach Art. 83 DSGVO trägt die Partei, gegen die sie verhängt wurden.

§ 14 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform; die elektronische Form (z. B. E-Mail, Bestätigung in der Plattform) genügt. Das gilt auch für die Aufhebung dieses Textformerfordernisses.

(2) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen hinsichtlich der Verarbeitung personenbezogener Daten im Auftrag die Regelungen dieses AVV vor. Zwingende gesetzliche Regelungen, insbesondere die DSGVO, bleiben unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist — entsprechend der Regelung des Hauptvertrags — der Sitz des Auftragsverarbeiters (Velten), soweit gesetzlich zulässig.

(4) Sollten einzelne Bestimmungen dieses AVV ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt das Gesetzesrecht; hilfsweise werden die Parteien eine Regelung treffen, die dem datenschutzrechtlich Gebotenen am nächsten kommt.

(5) Dieser AVV gilt in der Fassung 1.3 mit Stand vom 10.09.2026.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft für die Verarbeitung der Auftragsdaten insbesondere die folgenden Maßnahmen:

1. Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO):

• Transportverschlüsselung: Sämtliche Verbindungen zur Plattform sind ausschließlich über TLS möglich (HTTPS, kein unverschlüsselter Zugriff).
• Speicherverschlüsselung der Teilnehmer-Stammdaten: Vor- und Nachname der Teilnehmenden werden mit AES-256-GCM verschlüsselt gespeichert.
• Zugangs-Codes der Teilnehmenden werden nicht im Klartext gespeichert, sondern gehasht unter Verwendung eines serverseitigen Peppers; ein Rückschluss vom Datenbankbestand auf gültige Codes ist damit nicht möglich.

Anlage 1 (Fortsetzung) — Zugangs-, Zugriffs- und Trennungskontrolle

2. Zugangs- und Zugriffskontrolle:

• Rollenbasiertes Berechtigungskonzept mit den Rollen Trainer, Team-Lead und Admin; Zugriffe sind auf den jeweils erforderlichen Funktionsumfang beschränkt.
• Mandanten-Scoping auf Zeilenebene: Jede Datenbankabfrage ist an die Mandanten-Kennung (tenantId) gebunden; ein mandantenübergreifender Zugriff ist ausgeschlossen (Trennungskontrolle).
• Getrennter, auditierter Admin-Client für Betreiber-Funktionen; administrative Zugriffe sind vom Kundenportal getrennt.
• Zwei-Faktor-Authentisierung (2FA) für Admin-Zugänge ist vorgesehen.
• 3. Auftrags- und Eingabekontrolle: Sicherheits- und verarbeitungsrelevante Vorgänge werden in einem AuditLog protokolliert (Auftragskontrolle). Publizierte Fragen-Pool-Versionen sind unveränderlich; Reports werden versioniert erzeugt, sodass nachvollziehbar bleibt, welche Fassung welchem Durchlauf zugrunde lag (Eingabekontrolle).

Anlage 1 (Fortsetzung) — Verfügbarkeit, Datenminimierung, Pseudonymisierung

4. Verfügbarkeits- und weitere Kontrollen:

• Verfügbarkeitskontrolle: Verschlüsselte Datensicherungen alle sechs Stunden, zusätzlich in ein räumlich getrenntes Speicherziel innerhalb der EU; Betrieb auf vom Auftragsverarbeiter selbst verwalteten Servern in einem deutschen Rechenzentrum (IONOS SE).
• Datenminimierung: Transaktionale E-Mails sind datenarm gestaltet (keine Ergebnisse im Mailtext); auf der Plattform werden keine Analyse-, Statistik- oder Marketing-Tracker Dritter eingesetzt.
• Pseudonymisierung: Teilnehmende werden im Portal unter Pseudonymen geführt; die Klarnamen sind verschlüsselt gespeichert und werden nur Berechtigten des jeweiligen Mandanten angezeigt.

Anlage 2 — Genehmigte Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt mit Stand dieser Fassung die folgenden Unterauftragsverarbeiter ein:

• IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland — Leistung: Hosting-/Rechenzentrums-Infrastruktur (Server, Speicher, Netzanbindung) am Serverstandort Deutschland; der Betrieb der Systeme selbst erfolgt durch den Auftragsverarbeiter. Verarbeitete Daten: sämtliche auf den Systemen gespeicherten Daten (infrastrukturseitig). Keine Drittlandübermittlung.
• Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA — Leistung: Content-Delivery-Netzwerk und DNS-Proxy (Auslieferung der Website, Schutz vor Angriffen, insbesondere DDoS). Verarbeitete Daten: technische Verbindungsdaten (IP-Adresse, Anfrage-Metadaten). Drittlandübermittlung in die USA abgesichert über EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); Cloudflare ist zudem unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO).

Anlage 2 (Fortsetzung) — Keine weiteren Unterauftragsverarbeiter

Über die in dieser Anlage genannten hinaus werden keine weiteren Unterauftragsverarbeiter eingesetzt. Datenbank- und Anwendungsbetrieb erfolgen durch den Auftragsverarbeiter selbst auf der in dieser Anlage genannten Infrastruktur (Deutschland); der Versand transaktionaler E-Mails erfolgt über einen selbst betriebenen Mailserver (Deutschland). Änderungen an dieser Anlage erfolgen nach dem Verfahren des § 8 Abs. 2 dieses AVV.