Auftrags­verarbeitungs­vertrag.

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Allgemeinen Geschäftsbedingungen von Confir (der „Vertrag“) zwischen Confir und dem Kunden und wird durch Verweis in diesen einbezogen. Er regelt die Verarbeitung personenbezogener Daten durch Confir im Auftrag des Kunden im Zusammenhang mit dem Dienst. Hier nicht definierte Begriffe haben die ihnen im Vertrag zugewiesene Bedeutung.

Dieser AVV bildet die Anforderungen des Artikels 28 DSGVO ab. Mit der Annahme des Vertrags nimmt der Kunde diesen AVV auch im eigenen Namen und gegebenenfalls im Namen der von ihm vertretenen Verantwortlichen an.

1. Begriffsbestimmungen

1.1 In diesem AVV gilt:

• „Confir“, „wir“, „uns“, „unser“ bezeichnet Confir, ein in Deutschland ansässiges Einzelunternehmen, dessen Inhaber im Impressum unter confir.eu/legal/imprint genannt ist, mit Geschäftssitz in Kirchweg 3, 92256 Hahnbach, Deutschland, handelnd als Auftragsverarbeiter.
• „Kunde“, „Sie“, „Ihr“ bezeichnet das Unternehmen oder die Organisation, das bzw. die den Vertrag abgeschlossen hat, handelnd als Verantwortlicher (oder, soweit Ziffer 2.3 gilt, als Auftragsverarbeiter im Auftrag eines dritten Verantwortlichen).
• „Personenbezogene Kundendaten“ bezeichnet die in den Kundendaten enthaltenen personenbezogenen Daten, die Confir im Rahmen des Vertrags im Auftrag des Kunden verarbeitet, wie in Anlage I näher beschrieben.
• „Datenschutzvorschriften“ bezeichnet alle Gesetze und Vorschriften, die auf die Verarbeitung personenbezogener Daten im Rahmen des Vertrags anwendbar sind, einschließlich der DSGVO, des Bundesdatenschutzgesetzes (BDSG), des deutschen TDDDG und der ePrivacy-Vorschriften der EU, jeweils in ihrer geänderten oder ersetzten Fassung.
• „DSGVO“ bezeichnet die Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung).
• „Drittlandübermittlung“ bezeichnet eine Übermittlung Personenbezogener Kundendaten von Confir (oder einem Unterauftragsverarbeiter) an ein Land oder einen Empfänger außerhalb des Europäischen Wirtschaftsraums (EWR), für das bzw. den kein Angemessenheitsbeschluss nach Artikel 45 DSGVO besteht.
• „Standardvertragsklauseln“ oder „SCC“ bezeichnet die Standardvertragsklauseln im Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 in ihrer jeweils geänderten oder ersetzten Fassung.
• „Unterauftragsverarbeiter“ bezeichnet jeden Dritten, den Confir mit der Verarbeitung Personenbezogener Kundendaten beauftragt.
• „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „personenbezogene Daten“, „Verletzung des Schutzes personenbezogener Daten“, „Verarbeitung“, „besondere Kategorien personenbezogener Daten“ und „Aufsichtsbehörde“ haben die ihnen in der DSGVO zugewiesene Bedeutung.

2. Rollen und Umfang der Verarbeitung

2.1 Rollen. Im Verhältnis der Parteien zueinander ist der Kunde Verantwortlicher und Confir Auftragsverarbeiter der Personenbezogenen Kundendaten. Confir verarbeitet Personenbezogene Kundendaten ausschließlich als Auftragsverarbeiter im Auftrag des Kunden.

2.2 Gegenstand und Einzelheiten. Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anlage I beschrieben.

2.3 Kunde als Auftragsverarbeiter. Ist der Kunde selbst Auftragsverarbeiter im Auftrag eines dritten Verantwortlichen, handelt Confir als Unterauftragsverarbeiter. In diesem Fall sichert der Kunde zu, dass er vom dritten Verantwortlichen ermächtigt ist, Confir zu den Bedingungen dieses AVV zu beauftragen und die hierin festgelegten Weisungen zu erteilen, und dass er alle Mitteilungen oder Informationen, die Confir nach diesem AVV bereitstellt, an den dritten Verantwortlichen weiterleitet.

2.4 Pflichten des Kunden als Verantwortlicher. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, einschließlich des Vorliegens einer gültigen Rechtsgrundlage, der Erteilung erforderlicher Informationen an betroffene Personen und der Sicherstellung, dass er berechtigt ist, Personenbezogene Kundendaten zur Verarbeitung an Confir zu übermitteln. Der Kunde darf Confir nicht anweisen, personenbezogene Daten unter Verstoß gegen Datenschutzvorschriften zu verarbeiten.

2.5 Grundsätzlich keine besonderen Kategorien. Der Dienst ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten ausgelegt. Der Kunde darf über den Dienst keine besonderen Kategorien personenbezogener Daten übermitteln, sofern dies nicht ausdrücklich schriftlich vereinbart und durch geeignete Garantien abgesichert ist.

3. Verarbeitung auf dokumentierte Weisung

3.1 Weisungen. Confir verarbeitet Personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden, auch in Bezug auf Drittlandübermittlungen, sofern Confir nicht durch das Recht der EU oder eines EU-Mitgliedstaats, dem Confir unterliegt, zu einer anderen Verarbeitung verpflichtet ist. Besteht eine solche rechtliche Verpflichtung, teilt Confir dem Kunden diese vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.2 Umfang der Weisungen. Die vollständigen und dokumentierten Weisungen des Kunden sind: (a) der Vertrag und dieser AVV; (b) die Konfiguration und Nutzung des Dienstes durch den Kunden gemäß der Dokumentation; und (c) etwaige weitere schriftliche Weisungen, die die Parteien vereinbaren. Zusätzliche Weisungen außerhalb dieses Rahmens bedürfen einer vorherigen schriftlichen Vereinbarung und können kostenpflichtig sein.

3.3 Rechtswidrige Weisungen. Confir informiert den Kunden, wenn eine Weisung nach Auffassung von Confir gegen Datenschutzvorschriften verstößt. Confir ist nicht verpflichtet, die Rechtmäßigkeit der Weisungen des Kunden rechtlich zu prüfen.

4. Vertraulichkeit

Confir stellt sicher, dass die zur Verarbeitung Personenbezogener Kundendaten befugten Personen angemessenen (vertraglichen oder gesetzlichen) Vertraulichkeitspflichten unterliegen, über die Vertraulichkeit der Daten unterrichtet sind und diese nur verarbeiten, soweit dies zur Bereitstellung des Dienstes erforderlich ist.

5. Sicherheit der Verarbeitung

5.1 Sicherheitsmaßnahmen. Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für die betroffenen Personen trifft und unterhält Confir geeignete technische und organisatorische Maßnahmen (TOMs), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, wie in Anlage II beschrieben.

5.2 Aktualisierungen. Confir kann seine Sicherheitsmaßnahmen von Zeit zu Zeit aktualisieren, sofern die Aktualisierungen das Gesamtschutzniveau der Personenbezogenen Kundendaten nicht wesentlich verringern.

5.3 Rolle des Kunden. Der Kunde ist dafür verantwortlich, zu beurteilen, ob die Maßnahmen in Anlage II seinen Anforderungen genügen, und seine eigenen Systeme, Zugangsdaten und Konfigurationsentscheidungen innerhalb des Dienstes abzusichern.

6. Unterauftragsverarbeiter

6.1 Allgemeine Genehmigung. Der Kunde erteilt Confir nach Maßgabe dieser Ziffer die allgemeine Genehmigung, zur Verarbeitung Personenbezogener Kundendaten Unterauftragsverarbeiter einzusetzen. Die zum Tag des Inkrafttretens eingesetzten Unterauftragsverarbeiter sind in Anlage III (und unter confir.eu/legal/subprocessors) aufgeführt.

6.2 Weitergabe von Pflichten. Confir erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag Datenschutzpflichten auf, die kein geringeres Schutzniveau bieten als dieser AVV; insbesondere muss der Unterauftragsverarbeiter hinreichende Garantien dafür bieten, dass die geeigneten technischen und organisatorischen Maßnahmen durchgeführt werden. Confir haftet gegenüber dem Kunden in vollem Umfang für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters.

6.3 Änderungen und Einspruch. Confir informiert den Kunden mindestens dreißig (30) Tage im Voraus (per E-Mail oder über den Dienst oder durch Aktualisierung der in Anlage III genannten Liste mit Benachrichtigungsfunktion) über die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters und gibt dem Kunden innerhalb dieser Frist angemessen Gelegenheit, aus nachvollziehbaren datenschutzrechtlichen Gründen Einspruch zu erheben. Erhebt der Kunde einen solchen Einspruch und können sich die Parteien nicht einigen, kann der Kunde – unter Ausschluss weitergehender Rechte wegen des Einspruchs – den betroffenen Teil des Dienstes durch schriftliche Mitteilung kündigen, und Confir erstattet im Voraus gezahlte Entgelte für den ungenutzten Rest des dann laufenden Zeitraums.

7. Unterstützung des Kunden

7.1 Anfragen betroffener Personen. Angesichts der Art der Verarbeitung unterstützt Confir den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO zu beantworten. Erhält Confir einen Antrag einer betroffenen Person in Bezug auf Personenbezogene Kundendaten, leitet Confir den Antrag, soweit rechtlich zulässig, unverzüglich an den Kunden weiter und antwortet nicht direkt, außer auf dokumentierte Weisung des Kunden.

7.2 Unterstützung bei der Einhaltung. Unter Berücksichtigung der Art der Verarbeitung und der Confir zur Verfügung stehenden Informationen unterstützt Confir den Kunden bei der Einhaltung seiner Pflichten nach den Artikeln 32 bis 36 DSGVO, nämlich Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten, Benachrichtigung betroffener Personen, Datenschutz-Folgenabschätzungen und vorherige Konsultation einer Aufsichtsbehörde.

7.3 Kosten. Confir leistet angemessene Unterstützung nach dieser Ziffer. Für Unterstützung, die über die Standardfunktionalität des Dienstes hinausgeht oder einen wesentlichen Aufwand erfordert, kann Confir nach vorheriger Mitteilung an den Kunden eine angemessene Vergütung verlangen.

8. Verletzung des Schutzes personenbezogener Daten

8.1 Meldung. Confir meldet dem Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Personenbezogene Kundendaten betrifft.

8.2 Informationen. Die Meldung enthält, soweit bekannt und sobald verfügbar, eine Beschreibung der Art der Verletzung, der Kategorien und ungefähren Zahl der betroffenen Personen und Datensätze, der wahrscheinlichen Folgen, der ergriffenen oder vorgeschlagenen Maßnahmen sowie eine Anlaufstelle für weitere Informationen.

8.3 Kein Anerkenntnis. Die Meldung einer Verletzung des Schutzes personenbezogener Daten durch Confir oder die Reaktion darauf stellt kein Anerkenntnis eines Verschuldens oder einer Haftung dar. Der Kunde ist für alle Meldungen an Aufsichtsbehörden oder Benachrichtigungen betroffener Personen verantwortlich, die ihm als Verantwortlichem obliegen.

9. Internationale Übermittlungen

9.1 Standardort. Confir verarbeitet Personenbezogene Kundendaten innerhalb des EWR, soweit in Anlage III nichts anderes festgelegt oder anderweitig vereinbart ist.

9.2 Drittlandübermittlungen. Soweit Confir oder ein Unterauftragsverarbeiter eine Drittlandübermittlung Personenbezogener Kundendaten vornimmt, stellt er sicher, dass ein geeigneter Übermittlungsmechanismus nach Kapitel V DSGVO zur Anwendung kommt; dies kann sein: (a) ein Angemessenheitsbeschluss; (b) das EU-U.S. Data Privacy Framework, sofern der Datenimporteur zertifiziert ist und die Übermittlung in dessen Anwendungsbereich fällt; oder (c) die Standardvertragsklauseln.

9.3 Einbeziehung der SCC. Confir verarbeitet Personenbezogene Kundendaten innerhalb des EWR (Ziffer 9.1); die Bereitstellung Personenbezogener Kundendaten durch den Kunden an Confir ist daher keine Drittlandübermittlung. Die SCC gelten wie folgt: (a) Übermittlungen an den Kunden. Ist der Kunde in einem Land außerhalb des EWR niedergelassen, für das kein Angemessenheitsbeschluss besteht, ist die Bereitstellung Personenbezogener Kundendaten durch Confir an den Kunden über den Dienst eine Drittlandübermittlung, und Modul Vier (Übermittlung von Auftragsverarbeitern an Verantwortliche) der SCC wird hiermit durch Verweis in diesen AVV einbezogen, mit Confir als Datenexporteur und dem Kunden als Datenimporteur, und wie folgt ergänzt: In Klausel 7 gilt die fakultative Kopplungsklausel; in Klausel 11 gilt die fakultative Formulierung zur unabhängigen Streitbeilegung nicht; in Klausel 17 unterliegen die SCC dem Recht Deutschlands; in Klausel 18 werden Streitigkeiten von den Gerichten Deutschlands entschieden; und Anlage I dieses AVV füllt Anhang I der SCC aus. (b) Übermittlungen an Unterauftragsverarbeiter. Nimmt Confir eine Drittlandübermittlung an einen Unterauftragsverarbeiter vor, stellt Confir sicher, dass mit diesem Unterauftragsverarbeiter Modul Drei (Übermittlung von Auftragsverarbeitern an Auftragsverarbeiter) der SCC oder ein anderer Mechanismus nach Ziffer 9.2 vereinbart ist.

9.4 Widersprüche. Bei Widersprüchen zwischen den SCC und dem übrigen Inhalt dieses AVV oder des Vertrags in Bezug auf eine Drittlandübermittlung haben die SCC Vorrang.

10. Überprüfungen und Verzeichnisse

10.1 Nachweis der Einhaltung. Confir stellt dem Kunden die Informationen zur Verfügung, die nach vernünftigem Ermessen erforderlich sind, um die Einhaltung von Artikel 28 DSGVO und dieses AVV nachzuweisen. Confir kann diese Pflicht durch Bereitstellung von Zusammenfassungen von Richtlinien, Sicherheitsdokumentation oder, soweit vorhanden, Prüfberichten oder Zertifizierungen Dritter erfüllen.

10.2 Audits. Confir ermöglicht Überprüfungen (Audits) – einschließlich Inspektionen –, die vom Kunden oder einem anderen vom Kunden beauftragten Prüfer durchgeführt werden, und trägt dazu bei, und zwar unter folgenden Voraussetzungen: (a) der Kunde kündigt das Audit mindestens dreißig (30) Tage im Voraus schriftlich an; (b) Audits finden höchstens einmal innerhalb von zwölf (12) Monaten statt, außer wenn eine Aufsichtsbehörde dies verlangt oder nach einer Verletzung des Schutzes personenbezogener Daten; (c) Audits finden während der Geschäftszeiten unter möglichst geringer Störung des Betriebs statt, und der Prüfer ist zur Vertraulichkeit verpflichtet; (d) der Kunde trägt seine eigenen und die angemessenen Kosten von Confir für das Audit; und (e) das Audit verpflichtet Confir nicht zur Offenlegung von Informationen, die die Sicherheit oder Vertraulichkeit anderer Kunden oder Dritter gefährden würden.

10.3 Verzeichnisse. Jede Partei führt Verzeichnisse von Verarbeitungstätigkeiten gemäß Artikel 30 DSGVO.

11. Rückgabe und Löschung Personenbezogener Kundendaten

11.1 Nach Beendigung. Nach Ablauf der Übergangs- und Abrufzeiträume gemäß Ziffer 7.6 der Allgemeinen Geschäftsbedingungen (oder früher auf Weisung des Kunden) löscht Confir nach Wahl des Kunden alle Personenbezogenen Kundendaten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der EU oder eines EU-Mitgliedstaats eine Verpflichtung zur Speicherung besteht.

11.2 Exportfenster. Der Kunde kann Kundendaten während der Abonnementlaufzeit sowie während der in Ziffer 7.6 der Allgemeinen Geschäftsbedingungen festgelegten Übergangs- und Abrufzeiträume exportieren; anschließend löscht Confir die Personenbezogenen Kundendaten gemäß Ziffer 7.6.7 der Allgemeinen Geschäftsbedingungen.

11.3 Aufbewahrte Daten. Confir kann Personenbezogene Kundendaten aufbewahren, soweit und solange dies gesetzlich vorgeschrieben ist oder soweit sie in routinemäßigen Sicherungen enthalten sind; in diesem Fall unterliegen sie weiterhin den Vertraulichkeits- und Sicherheitspflichten dieses AVV und werden im regulären Backup-Rotationszyklus gelöscht, spätestens dreißig (30) Tage nach der Löschung aus den Produktivsystemen.

12. Haftung

12.1 Höchstgrenze und Ausschlüsse. Die Haftung jeder Partei aus oder im Zusammenhang mit diesem AVV, gleich ob aus Vertrag, unerlaubter Handlung oder sonstigem Rechtsgrund, unterliegt den im Vertrag festgelegten Haftungsausschlüssen und -beschränkungen (einschließlich der Haftungshöchstgrenze). Jede Bezugnahme im Vertrag auf die Haftung einer Partei „nach diesem Vertrag“ oder „aus dem Vertrag“ umfasst die Haftung aus diesem AVV.

12.2 Keine Auswirkung auf Rechte betroffener Personen. Nichts in diesem AVV oder im Vertrag beschränkt eine Haftung, die nach Datenschutzvorschriften nicht beschränkt werden kann, einschließlich der Haftung gegenüber betroffenen Personen nach Artikel 82 DSGVO.

13. Laufzeit, Rangfolge und Allgemeines

13.1 Laufzeit. Dieser AVV tritt am Tag des Inkrafttretens in Kraft und gilt, solange Confir Personenbezogene Kundendaten im Rahmen des Vertrags verarbeitet. Bestimmungen, die ihrer Natur nach über die Beendigung hinaus fortgelten sollen, gelten fort.

13.2 Rangfolge. Bei Widersprüchen in Bezug auf die Verarbeitung personenbezogener Daten gilt folgende Rangfolge: (a) die SCC (für Drittlandübermittlungen); (b) dieser AVV; und (c) der übrige Vertrag.

13.3 Anwendbares Recht und Gerichtsstand. Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland, und der Gerichtsstand bestimmt sich nach Ziffer 17.2 des Vertrags, soweit die SCC für eine Drittlandübermittlung nichts anderes vorsehen.

13.4 Änderungen. Confir kann diesen AVV mit angemessener Ankündigung ändern, soweit dies erforderlich ist, um Änderungen der Datenschutzvorschriften, Leitlinien einer Aufsichtsbehörde oder der SCC Rechnung zu tragen, sofern die Änderung den Schutz der Personenbezogenen Kundendaten nicht wesentlich verringert.

13.5 Salvatorische Klausel. Ist eine Bestimmung dieses AVV unwirksam oder undurchführbar, bleiben die übrigen Bestimmungen in vollem Umfang wirksam. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften.

Anlage I – Beschreibung der Verarbeitung

A. Liste der Parteien

Verantwortlicher: Der Kunde, wie im Vertrag und im Bestellvorgang angegeben. Kontakt: die im Konto hinterlegten Angaben des Kontoadministrators. Rolle: Verantwortlicher (oder Auftragsverarbeiter, soweit Ziffer 2.3 gilt).

Auftragsverarbeiter: Confir (Einzelunternehmen; Inhaber wie im Impressum unter confir.eu/legal/imprint angegeben), Kirchweg 3, 92256 Hahnbach, Deutschland. Kontakt für Datenschutzangelegenheiten: privacy@confir.eu. Rolle: Auftragsverarbeiter.

Rollen nach den SCC. Für Übermittlungen nach Modul Vier der SCC (Ziffer 9.3(a)) ist Confir Datenexporteur und der Kunde Datenimporteur.

B. Beschreibung der Verarbeitung

Kategorien betroffener Personen:

• Autorisierte Nutzer und Personal des Kunden (z. B. Beschäftigte, freie Mitarbeiter), die auf den Dienst zugreifen oder darin genannt werden;
• alle Personen, deren personenbezogene Daten der Kunde in die Kundendaten aufnimmt (z. B. Personal, das in der Dokumentation der KI-Systeme oder in Compliance-Unterlagen des Kunden genannt ist).

Kategorien personenbezogener Daten:

• Konto- und Identitätsdaten: Name, geschäftliche E-Mail-Adresse, Funktionsbezeichnung und ähnliche berufliche Kontaktdaten;
• Authentifizierungs- und Nutzungsdaten: Zugangsdaten, IP-Adresse, Geräte- und Protokolldaten sowie Aufzeichnungen über Aktivitäten im Dienst;
• Inhaltsdaten: alle personenbezogenen Daten, die der Kunde in die Informationen aufnimmt, die er über seine KI-Systeme, Produkte, Prozesse, Organisation und Compliance-Dokumentation übermittelt.

Besondere Kategorien personenbezogener Daten: Keine vorgesehen (siehe Ziffer 2.5). Der Kunde darf keine besonderen Kategorien personenbezogener Daten übermitteln, sofern dies nicht ausdrücklich schriftlich vereinbart ist.

Art und Zweck der Verarbeitung: Hosting, Speicherung, Organisation, Strukturierung, Auslesen, Abfragen, Verwendung und Löschung Personenbezogener Kundendaten, soweit zur Bereitstellung des Dienstes – einer Plattform für Compliance-Bewertung und Dokumentation nach dem EU AI Act – erforderlich, einschließlich der Erzeugung von Ergebnissen aus den bereitgestellten Eingaben, der Erbringung von Support, der Gewährleistung der Sicherheit und der Erfüllung gesetzlicher Pflichten.

Häufigkeit der Verarbeitung: Fortlaufend für die Dauer der Abonnementlaufzeit.

Dauer der Verarbeitung: Für die Laufzeit des Vertrags zuzüglich der in Ziffer 11 festgelegten Export- und Löschfristen.

C. Zuständige Aufsichtsbehörde

Die für Confir zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Deutschland (lda.bayern.de). Das BayLDA ist auch für Übermittlungen nach Modul Vier der SCC (Ziffer 9.3(a)) die zuständige Aufsichtsbehörde, da Confir als Datenexporteur in Bayern niedergelassen ist.

Anlage II – Technische und organisatorische Maßnahmen (TOMs)

• Zugriffskontrolle und Authentifizierung. Rollenbasierter Zugriff nach dem Prinzip der minimalen Rechte; individuelle Benutzerkonten; Multi-Faktor-Authentifizierung für administrative Zugriffe; unverzüglicher Entzug von Zugriffsrechten bei Rollenwechsel oder Ausscheiden.
• Verschlüsselung. Verschlüsselung Personenbezogener Kundendaten bei der Übertragung (z. B. TLS 1.2+) und im Ruhezustand mit branchenüblichen Algorithmen.
• Netzwerk- und Infrastruktursicherheit. Firewalls und Netzwerksegmentierung; gehärtete Konfigurationen; Einsatz renommierter Cloud-Infrastrukturanbieter mit anerkannten Zertifizierungen (z. B. ISO/IEC 27001) – siehe Anlage III.
• Pseudonymisierung und Datenminimierung. Datenminimierung bereits in der Gestaltung des Dienstes; Pseudonymisierung oder Aggregation, soweit angemessen, auch für Analysen.
• Protokollierung und Überwachung. Sicherheitsprotokollierung, Überwachung und Alarmierung; Aufbewahrung von Protokollen für einen angemessenen Zeitraum.
• Sichere Entwicklung. Sichere Softwareentwicklungspraktiken; Code-Reviews; Abhängigkeits- und Schwachstellenmanagement; Trennung von Produktiv- und Nicht-Produktivumgebungen; keine Verwendung personenbezogener Produktivdaten in Testumgebungen ohne Schutzmaßnahmen.
• Belastbarkeit und Datensicherung. Regelmäßige verschlüsselte Sicherungen; dokumentierte Wiederherstellungsverfahren; Maßnahmen zur dauerhaften Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme.
• Personal. Vertraulichkeitsverpflichtungen für das gesamte Personal; Schulungen zur Sensibilisierung für Datenschutz und Informationssicherheit; Hintergrundüberprüfungen, soweit rechtlich zulässig und angemessen.
• Physische Sicherheit. Die physische Sicherheit der Infrastruktur ist an zertifizierte Hosting-Anbieter übertragen (siehe Anlage III).
• Reaktion auf Sicherheitsvorfälle. Ein dokumentierter Prozess zur Reaktion auf Sicherheitsvorfälle, einschließlich Erkennung, Eskalation und Meldung von Verletzungen gemäß Ziffer 8.
• Dienstleistersteuerung. Sorgfältige Prüfung und vertragliche Absicherung von Unterauftragsverarbeitern (siehe Ziffer 6 und Anlage III).
• Löschung. Verfahren zur sicheren Löschung und Rückgabe Personenbezogener Kundendaten gemäß Ziffer 11.

Anlage III – Unterauftragsverarbeiter

Die aktuell zur Verarbeitung Personenbezogener Kundendaten genehmigten Unterauftragsverarbeiter werden in ihrer maßgeblichen Fassung unter confir.eu/legal/subprocessors geführt, wo Kunden Benachrichtigungen über Änderungen abonnieren können. Confir kündigt jede Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens dreißig (30) Tage im Voraus an (Ziffer 6.3). Diese Anlage wurde zuletzt am 1. November 2026aktualisiert. Die Unterauftragsverarbeiter sind:

Hinweis zu in den USA ansässigen Unterauftragsverarbeitern. Bestimmte Unterauftragsverarbeiter sind in den Vereinigten Staaten gegründet (oder haben US-Muttergesellschaften). Die meisten hosten Personenbezogene Kundendaten innerhalb des EWR, können aber grundsätzlich ausländischen Zugriffsersuchen unterliegen; Resend verarbeitet die erhaltenen Daten in den Vereinigten Staaten, was eine Eingeschränkte Übermittlung nach Ziffer 9.3(b) darstellt. Für diese stützt sich Confir auf die folgenden Garantien nach Kapitel V DSGVO: für Vercel auf das EU-U.S. Data Privacy Framework (unter dem Vercel aktiv zertifiziert ist) zusammen mit den Standardvertragsklauseln als Rückfallebene; und für Supabase auf die Standardvertragsklauseln und das UK Addendum, die in den Auftragsverarbeitungsvertrag von Supabase einbezogen sind, gestützt durch das von Supabase veröffentlichte Transfer Impact Assessment (Supabase ist nicht DPF-zertifiziert). Beide Anbieter verfügen über Zertifizierungen nach SOC 2 Type 2 und ISO 27001. Für Cloudflare stützt sich Confir auf das EU-U.S. Data Privacy Framework zusammen mit den Standardvertragsklauseln, die in dessen Auftragsverarbeitungsvertrag einbezogen sind. Cloudflare erhält keine Personenbezogenen Kundendaten aus der Datenbank; es sieht nur die Verbindungsmetadaten eines Anmeldeversuchs. Für Resend stützt sich Confir auf das EU-U.S. Data Privacy Framework zusammen mit den Standardvertragsklauseln, die in dessen Auftragsverarbeitungsvertrag einbezogen sind. Resend versendet aus AWS eu-west-1 (Irland), speichert E-Mail-Daten und Protokolle jedoch in den Vereinigten Staaten. Resend erhält die E-Mail-Adresse des Empfängers, den Inhalt der E-Mail und die zugehörigen Zustellungsmetadaten und speichert Zustellungsprotokolle 30 Tage lang. Öffnungs- und Klick-Tracking sind deaktiviert.

Marketing-Website (gesonderte Verarbeitung). Die öffentliche Marketing-Website von Confir verwendet Google Analytics 4, das nur für Besucher geladen wird, die Analysen im Cookie-Banner akzeptiert haben, und niemals für Besucher, die ablehnen, das Banner ignorieren oder ein Global-Privacy-Control-Signal senden. Es läuft mit deaktivierten Google Signals, Werbefunktionen und Anzeigenpersonalisierung; es gibt keine Werbung, kein Remarketing und keine Sitzungsaufzeichnung. Diese Verarbeitung betrifft Daten von Website-Besuchern (Online-Kennungen, aufgerufene Seiten, Kampagnenparameter), für die Confir Verantwortlicher ist, und sie betrifft keine Personenbezogenen Kundendaten innerhalb des Dienstes – innerhalb des Dienstes findet keinerlei Analyse statt. Vom Hosting-Anbieter geführte Server-Anfrageprotokolle (IP-Adresse, User-Agent, aufgerufene URL) werden ebenfalls mit Confir als Verantwortlichem verarbeitet. Über das Kontaktformular der Website gesendete Nachrichten werden Confir über Resend (Plus Five Five, Inc., USA; EU-U.S. Data Privacy Framework und Standardvertragsklauseln) per E-Mail zugestellt, ebenfalls mit Confir als Verantwortlichem. Dies ist getrennt von der Rolle von Resend als Unterauftragsverarbeiter für die Konto-E-Mails des Dienstes (Anlage III); Kontaktformular-Nachrichten sind keine Personenbezogenen Kundendaten. All dies ist in der Datenschutzerklärung und der Cookie-Richtlinie von Confir offengelegt.

Annahme

Dieser AVV wird vom Kunden mit Abschluss des Vertrags (auch durch Abschluss des Bestellvorgangs oder Start einer Testphase) und von Confir durch Bereitstellung des Dienstes angenommen. Für die Verbindlichkeit des AVV ist keine physische Unterschrift erforderlich; die Parteien können auf Anfrage jedoch eine von beiden Seiten unterzeichnete Ausfertigung austauschen. Datenschutzanfragen richten Sie bitte an privacy@confir.eu.