Vertrag über die Auftragsverarbeitung

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO zwischen

Dieser Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Er gilt, sobald der Auftraggeber ihm bei der Registrierung oder Bestellung zustimmt, und ist Bestandteil des Nutzungsvertrags über KREATIVNOTE.

1. Einleitung, Geltungsbereich, Definitionen

1.1 Dieser Vertrag regelt die Rechte und Pflichten von Auftraggeber und Auftragnehmer (im Folgenden „Parteien“) im Rahmen einer Verarbeitung von personenbezogenen Daten im Auftrag im Sinne des Art. 28 der EU-Datenschutz-Grundverordnung (im Folgenden „DSGVO“).

1.2 Dieser Vertrag findet auf alle Tätigkeiten Anwendung, bei denen der Auftragnehmer oder durch ihn beauftragte Unterauftragnehmer (Subunternehmer) personenbezogene Daten des Auftraggebers verarbeiten.

1.3 In diesem Vertrag verwendete Begriffe sind entsprechend ihrer Definition in der DSGVO zu verstehen. Erklärungen nach diesem Vertrag können in Textform (z. B. per E-Mail) erfolgen, soweit eine angemessene Nachweisbarkeit gewährleistet ist.

2. Gegenstand und Dauer der Verarbeitung

2.1 Der Auftragnehmer stellt dem Auftraggeber die Software KREATIVNOTE als Software-as-a-Service bereit: ein Kundenportal, über das der Auftraggeber mit seinen eigenen Kunden zusammenarbeitet (Beiträge und Inhalte zur Freigabe, Content-Plan, Termine, Dateien, Nachrichten, Kommentare, Auswertungen und Support-Tickets). Dabei speichert und verarbeitet der Auftragnehmer die personenbezogenen Daten, die der Auftraggeber, seine Mitarbeiter und seine Kunden in das Portal eingeben oder hochladen.

2.2 Grundlage ist der zwischen den Parteien geschlossene Nutzungsvertrag über KREATIVNOTE einschließlich der Allgemeinen Geschäftsbedingungen des Auftragnehmers (im Folgenden „Hauptvertrag“).

2.3 Die Verarbeitung beginnt mit der Einrichtung des Portals für den Auftraggeber (auch während einer kostenlosen Testphase) und erfolgt auf unbestimmte Zeit bis zur Beendigung des Hauptvertrags.

3. Art und Zweck der Datenverarbeitung

3.1 Die Verarbeitung umfasst das Erheben, Erfassen, Speichern, Organisieren, Ordnen, Anzeigen, Bereitstellen, Übermitteln an die vom Auftraggeber berechtigten Nutzer, das Sichern sowie das Löschen der Daten.

3.2 Der Auftraggeber ist eine Agentur oder ein Unternehmen, das für seine Kunden Inhalte erstellt, etwa im Bereich Social Media, Foto, Video oder Marketing, und KREATIVNOTE zur Abstimmung mit diesen Kunden einsetzt.

3.3 Die Verarbeitung dient dem Zweck, dem Auftraggeber ein Kundenportal zur Zusammenarbeit mit seinen Kunden und seinem Team bereitzustellen. Sie erfolgt im Interesse des Auftraggebers an einer effizienten, strukturierten und nachvollziehbaren Abstimmung und Freigabe von Inhalten sowie an einer vereinfachten Organisation von Dateien, Terminen und Kommunikation.

3.4 Es werden folgende Kategorien personenbezogener Daten verarbeitet:

• Stammdaten (Name, Firmenzugehörigkeit, Rolle bzw. Funktion)
• Kommunikationsdaten (E-Mail-Adresse, Telefonnummer, Anschrift, soweit eingegeben)
• Zugangsdaten (Login-E-Mail, Passwort ausschließlich als Hash)
• Inhaltsdaten (Bilder, Videos, Dokumente, Texte, Logos sowie darauf ggf. abgebildete Personen)
• Kommunikations- und Nutzungsinhalte (Nachrichten, Kommentare, Freigaben, Änderungswünsche, Termine, Tickets)
• Nutzungs- und Protokolldaten (Zeitpunkte von Anmeldungen und Aktionen, IP-Adresse, Browserangaben)

Die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO (z. B. Gesundheitsdaten) ist nach den AGB des Auftragnehmers untersagt und nicht Gegenstand dieses Vertrags.

3.5 Von der Verarbeitung betroffen sind:

• Inhaber, Mitarbeiter und freie Mitarbeiter des Auftraggebers
• Kunden des Auftraggebers und deren Ansprechpartner bzw. Mitarbeiter
• Personen, die in Inhalten des Auftraggebers abgebildet oder genannt sind
• an den Leistungen des Auftraggebers interessierte Personen, soweit der Auftraggeber deren Daten im Portal speichert

4. Pflichten des Auftragnehmers

4.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich wie vertraglich vereinbart oder wie vom Auftraggeber angewiesen, es sei denn, der Auftragnehmer ist gesetzlich zu einer bestimmten Verarbeitung verpflichtet. Sofern solche Verpflichtungen für ihn bestehen, teilt der Auftragnehmer diese dem Auftraggeber vor der Verarbeitung mit, es sei denn, die Mitteilung ist ihm gesetzlich verboten. Der Auftragnehmer verwendet die zur Verarbeitung überlassenen Daten für keine anderen, insbesondere nicht für eigene Zwecke.

4.2 Der Auftragnehmer bestätigt, dass ihm die einschlägigen, allgemeinen datenschutzrechtlichen Vorschriften bekannt sind. Er beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung.

4.3 Der Auftragnehmer verpflichtet sich, bei der Verarbeitung die Vertraulichkeit streng zu wahren.

4.4 Personen, die Kenntnis von den im Auftrag verarbeiteten Daten erhalten können, haben sich schriftlich oder in Textform zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits gesetzlich einer einschlägigen Geheimhaltungspflicht unterliegen.

4.5 Der Auftragnehmer sichert zu, dass die bei ihm zur Verarbeitung eingesetzten Personen vor Beginn der Verarbeitung mit den relevanten Bestimmungen des Datenschutzes und dieses Vertrags vertraut gemacht wurden. Entsprechende Sensibilisierungsmaßnahmen werden angemessen regelmäßig wiederholt.

4.6 Im Zusammenhang mit der beauftragten Verarbeitung unterstützt der Auftragnehmer den Auftraggeber bei Erstellung und Fortschreibung des Verzeichnisses der Verarbeitungstätigkeiten sowie bei der Durchführung einer Datenschutz-Folgenabschätzung. Die erforderlichen Angaben stellt er dem Auftraggeber auf Anforderung zur Verfügung.

4.7 Wird der Auftraggeber durch Aufsichtsbehörden oder andere Stellen einer Kontrolle unterzogen oder machen betroffene Personen ihm gegenüber Rechte geltend, unterstützt der Auftragnehmer den Auftraggeber im erforderlichen Umfang, soweit die Verarbeitung im Auftrag betroffen ist. Der Auftraggeber kann Daten im Portal selbst einsehen, berichtigen, exportieren und löschen.

4.8 Auskünfte an Dritte oder Betroffene darf der Auftragnehmer nur nach vorheriger Zustimmung durch den Auftraggeber erteilen. Direkt an ihn gerichtete Anfragen leitet er unverzüglich an den Auftraggeber weiter.

4.9 Der Auftragnehmer ist nach Art. 37 DSGVO und § 38 BDSG nicht verpflichtet, einen Datenschutzbeauftragten zu benennen, und hat keinen benannt. Ansprechpartner für den Datenschutz ist Jan Ehret, hallo@kreativnote.de. Wird künftig ein Datenschutzbeauftragter benannt, teilt der Auftragnehmer dessen Kontaktdaten unverzüglich mit.

4.10 Die Auftragsverarbeitung erfolgt grundsätzlich innerhalb der EU, des EWR oder in Staaten, für die ein Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO gilt. Eine Verarbeitung in einem Drittland erfolgt nur unter den in Kapitel V der DSGVO enthaltenen Bedingungen und unter Einhaltung der Bestimmungen dieses Vertrags (siehe Anlage 2).

5. Technische und organisatorische Maßnahmen

5.1 Die in Anlage 1 beschriebenen Datensicherheitsmaßnahmen (technische und organisatorische Maßnahmen) werden als verbindlich festgelegt. Sie definieren das vom Auftragnehmer geschuldete Minimum.

5.2 Die Maßnahmen können der technischen und organisatorischen Weiterentwicklung entsprechend angepasst werden, solange das hier vereinbarte Niveau nicht unterschritten wird. Zur Aufrechterhaltung der Informationssicherheit erforderliche Änderungen setzt der Auftragnehmer unverzüglich um. Wesentliche Änderungen teilt er dem Auftraggeber mit.

5.3 Soweit die getroffenen Sicherheitsmaßnahmen den Anforderungen des Auftraggebers nicht oder nicht mehr genügen, benachrichtigt der Auftragnehmer den Auftraggeber unverzüglich.

5.4 Der Auftragnehmer sichert zu, dass die im Auftrag verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden. Jeder Auftraggeber erhält eine eigene Datenbank und einen eigenen Speicherbereich.

5.5 Kopien oder Duplikate werden ohne Wissen des Auftraggebers nicht erstellt. Ausgenommen sind die in Anlage 1 beschriebenen Datensicherungen sowie technisch notwendige, temporäre Vervielfältigungen, soweit eine Beeinträchtigung des hier vereinbarten Datenschutzniveaus ausgeschlossen ist.

5.6 Die Daten werden ausschließlich auf den Servern der in Anlage 2 genannten Subunternehmer gespeichert und nicht auf lokalen Geräten des Auftragnehmers abgelegt. Die Verwaltung des Systems kann ortsunabhängig über verschlüsselte Verbindungen und von Geräten erfolgen, die durch Passwort bzw. Bildschirmsperre und Datenträgerverschlüsselung geschützt sind. Ein Zugriff durch unbefugte Dritte ist dabei auszuschließen.

5.7 Der Auftraggeber ist berechtigt, die Erfüllung der Pflichten durch den Auftragnehmer, insbesondere die Umsetzung der vereinbarten technischen und organisatorischen Maßnahmen, nach Maßgabe von Ziffer 8.4 und 8.5 zu kontrollieren.

6. Regelungen zur Berichtigung, Löschung und Sperrung von Daten

6.1 Im Rahmen des Auftrags verarbeitete Daten wird der Auftragnehmer nur entsprechend der getroffenen vertraglichen Vereinbarung oder nach Weisung des Auftraggebers berichtigen, löschen oder sperren. Der Auftraggeber kann dies über die Funktionen des Portals in der Regel selbst vornehmen.

6.2 Den entsprechenden Weisungen des Auftraggebers wird der Auftragnehmer jederzeit und auch über die Beendigung dieses Vertrages hinaus Folge leisten.

7. Unterauftragsverhältnisse

7.1 Die Beauftragung von Subunternehmern durch den Auftragnehmer ist zulässig. Der Auftragnehmer informiert den Auftraggeber vorab in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Subunternehmers. Der Auftraggeber kann der Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt. Bei einem Widerspruch kann jede Partei den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.

7.2 Der Auftragnehmer erteilt auf Verlangen des Auftraggebers Auskunft über die eingesetzten Subunternehmer und über die mit diesen geschlossenen Verträge zur Auftragsverarbeitung, soweit dem keine Geheimhaltungspflichten entgegenstehen.

7.3 Die Verantwortlichkeiten des Auftragnehmers und des Subunternehmers sind eindeutig voneinander abzugrenzen. Der Auftragnehmer schließt mit jedem Subunternehmer einen Vertrag, der den Anforderungen des Art. 28 DSGVO entspricht.

7.4 Der Auftragnehmer wählt den Subunternehmer unter besonderer Berücksichtigung der Eignung der vom Subunternehmer getroffenen technischen und organisatorischen Maßnahmen sorgfältig aus.

7.5 Die Beauftragung von Subunternehmern, die Verarbeitungen nicht ausschließlich im Gebiet der EU, des EWR oder in Staaten mit Angemessenheitsbeschluss erbringen, ist nur unter Beachtung der in Ziffer 4.10 genannten Bedingungen zulässig, insbesondere nur soweit und solange der Subunternehmer angemessene Datenschutzgarantien bietet (z. B. Zertifizierung nach dem EU-US Data Privacy Framework oder EU-Standardvertragsklauseln).

7.6 Der Auftragnehmer überprüft die Einhaltung der Pflichten des Subunternehmers regelmäßig in angemessener Weise, etwa anhand von Zertifikaten und Prüfberichten, und dokumentiert dies.

7.7 Kommt der Subunternehmer seinen Datenschutzpflichten nicht nach, so haftet hierfür der Auftragnehmer gegenüber dem Auftraggeber.

7.8 Zurzeit sind die in Anlage 2 genannten Subunternehmer in dem dort genannten Umfang mit der Verarbeitung betraut. Der Auftraggeber stimmt ihrem Einsatz zu.

7.9 Unterauftragsverhältnisse im Sinne dieses Vertrags sind nur solche Leistungen, die einen direkten Zusammenhang mit der Erbringung der Hauptleistung aufweisen. Nebenleistungen wie Telekommunikationsdienstleistungen oder eine Erreichbarkeitsüberwachung, bei der keine Inhalte des Auftraggebers verarbeitet werden, sind nicht erfasst. Die Pflicht des Auftragnehmers, auch hier Datenschutz und Datensicherheit sicherzustellen, bleibt unberührt.

8. Rechte und Pflichten des Auftraggebers

8.1 Für die Beurteilung der Zulässigkeit der beauftragten Verarbeitung sowie für die Wahrung der Rechte von Betroffenen ist allein der Auftraggeber verantwortlich. Dies gilt insbesondere für die Rechtmäßigkeit der Inhalte und Daten, die er, seine Mitarbeiter oder seine Kunden in das Portal einstellen.

8.2 Der Auftraggeber erteilt Weisungen dokumentiert, in der Regel in Textform. In Eilfällen können Weisungen mündlich erteilt werden; der Auftraggeber bestätigt sie unverzüglich in Textform. Die Nutzung der Funktionen des Portals durch den Auftraggeber gilt als Weisung.

8.3 Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

8.4 Der Auftraggeber ist berechtigt, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen beim Auftragnehmer in angemessenem Umfang selbst oder durch einen zur Verschwiegenheit verpflichteten Dritten zu kontrollieren. Die Kontrolle erfolgt vorrangig durch die Einholung von Auskünften und die Vorlage geeigneter Nachweise, etwa dieser Vereinbarung, der Dokumentation der technischen und organisatorischen Maßnahmen sowie von Zertifikaten und Prüfberichten der Subunternehmer. Kontrollen in den Rechenzentren der Subunternehmer richten sich nach deren Bedingungen.

8.5 Kontrollen beim Auftragnehmer haben ohne vermeidbare Störungen seines Geschäftsbetriebs zu erfolgen. Soweit nicht aus vom Auftraggeber zu dokumentierenden, dringlichen Gründen anders angezeigt, finden Kontrollen nach angemessener Vorankündigung und zu Geschäftszeiten des Auftragnehmers sowie nicht häufiger als alle 12 Monate statt.

9. Mitteilungspflichten

9.1 Der Auftragnehmer teilt dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich mit. Auch begründete Verdachtsfälle sind mitzuteilen. Die Mitteilung erfolgt spätestens innerhalb von 24 Stunden ab Kenntnis des Auftragnehmers vom relevanten Ereignis an die im Portal hinterlegte E-Mail-Adresse des Inhabers des Auftraggebers. Sie enthält, soweit möglich:

• eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze;
• den Namen und die Kontaktdaten einer Anlaufstelle für weitere Informationen;
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung;
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und gegebenenfalls zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

9.2 Ebenfalls unverzüglich mitzuteilen sind erhebliche Störungen bei der Auftragserledigung sowie Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder die in diesem Vertrag getroffenen Festlegungen.

9.3 Der Auftragnehmer informiert den Auftraggeber unverzüglich von Kontrollen oder Maßnahmen von Aufsichtsbehörden oder anderen Dritten, soweit diese Bezüge zur Auftragsverarbeitung aufweisen.

9.4 Der Auftragnehmer unterstützt den Auftraggeber bei dessen Pflichten nach Art. 33 und 34 DSGVO im erforderlichen Umfang.

10. Weisungen

10.1 Der Auftraggeber behält sich hinsichtlich der Verarbeitung im Auftrag ein umfassendes Weisungsrecht vor.

10.2 Die zur Erteilung und Annahme von Weisungen befugten Personen ergeben sich aus Anlage 3.

10.3 Bei einem Wechsel oder einer längerfristigen Verhinderung der benannten Personen sind der anderen Partei Nachfolger bzw. Vertreter unverzüglich mitzuteilen.

10.4 Der Auftragnehmer macht den Auftraggeber unverzüglich darauf aufmerksam, wenn eine Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt oder zu einer Haftung des Auftragnehmers führen kann. Er ist berechtigt, die Durchführung der Weisung so lange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

10.5 Zu einer materiell-rechtlichen Prüfung von Weisungen ist der Auftragnehmer nicht verpflichtet.

11. Beendigung des Auftrags

11.1 Der Auftraggeber kann sämtliche Daten bis zum Vertragsende jederzeit selbst als ZIP-Datei aus dem Portal exportieren. Nach Beendigung des Hauptvertrags löscht der Auftragnehmer die im Auftrag verarbeiteten Daten einschließlich vorhandener Kopien spätestens 30 Tage nach Vertragsende, sofern der Auftraggeber nicht vorher in Textform die Herausgabe verlangt oder gesetzliche Aufbewahrungspflichten entgegenstehen. Datensicherungen werden im Rahmen des regulären Sicherungszyklus überschrieben bzw. gelöscht. Die Löschung erfolgt so, dass eine Wiederherstellung mit vertretbarem Aufwand nicht mehr möglich ist.

11.2 Der Auftragnehmer veranlasst die Löschung auch bei den Subunternehmern.

11.3 Der Auftragnehmer bestätigt dem Auftraggeber die Löschung auf Verlangen in Textform.

11.4 Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, bewahrt der Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen auch über das Vertragsende hinaus auf.

12. Vergütung

Die Vergütung des Auftragnehmers ist abschließend im Hauptvertrag geregelt. Eine gesonderte Vergütung oder Kostenerstattung im Rahmen dieses Vertrages erfolgt nicht.

13. Haftung

13.1 Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, haften Auftraggeber und Auftragnehmer nach Maßgabe des Art. 82 DSGVO.

13.2 Der Auftraggeber trägt die Beweislast dafür, dass ein Schaden nicht Folge eines von ihm zu vertretenden Umstandes ist, soweit personenbezogene Daten in seiner Verantwortung vom Auftragnehmer unter dieser Vereinbarung verarbeitet wurden. Solange dieser Beweis nicht erbracht wurde, stellt der Auftraggeber den Auftragnehmer auf erste Anforderung von allen Ansprüchen frei, die im Zusammenhang mit der Auftragsverarbeitung gegen den Auftragnehmer erhoben werden. Unter diesen Voraussetzungen ersetzt der Auftraggeber dem Auftragnehmer ebenfalls die entstandenen Kosten der Rechtsverteidigung.

13.3 Der Auftragnehmer haftet dem Auftraggeber für Schäden, die der Auftragnehmer, seine Mitarbeiter bzw. die von ihm mit der Vertragsdurchführung Beauftragten oder die von ihm eingesetzten Subunternehmer im Zusammenhang mit der Erbringung der beauftragten vertraglichen Leistung schuldhaft verursachen. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.

13.4 Ziffer 13.3 gilt nicht, soweit der Schaden durch die korrekte Umsetzung der beauftragten Dienstleistung oder einer vom Auftraggeber erteilten Weisung entstanden ist.

14. Sonderkündigungsrecht

14.1 Der Auftraggeber kann den Hauptvertrag und diese Vereinbarung ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieser Vereinbarung vorliegt, der Auftragnehmer eine rechtmäßige Weisung des Auftraggebers nicht ausführen kann oder will oder der Auftragnehmer Kontrollrechte des Auftraggebers vertragswidrig verweigert.

14.2 Ein schwerwiegender Verstoß liegt insbesondere vor, wenn der Auftragnehmer die in dieser Vereinbarung bestimmten Pflichten, insbesondere die vereinbarten technischen und organisatorischen Maßnahmen, in erheblichem Maße nicht erfüllt oder nicht erfüllt hat.

14.3 Bei unerheblichen Verstößen setzt der Auftraggeber dem Auftragnehmer eine angemessene Frist zur Abhilfe. Erfolgt die Abhilfe nicht rechtzeitig, ist der Auftraggeber zur außerordentlichen Kündigung berechtigt.

15. Sonstiges

15.1 Beide Parteien sind verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der jeweils anderen Partei auch über die Beendigung des Vertrages hinaus vertraulich zu behandeln. Bestehen Zweifel, ob eine Information der Geheimhaltungspflicht unterliegt, ist sie bis zur Freigabe durch die andere Partei in Textform als vertraulich zu behandeln.

15.2 Sollten Daten des Auftraggebers beim Auftragnehmer durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenzverfahren oder durch sonstige Ereignisse gefährdet werden, verständigt der Auftragnehmer den Auftraggeber unverzüglich.

15.3 Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform.

15.4 Die Einrede des Zurückbehaltungsrechts im Sinne des § 273 BGB wird hinsichtlich der im Auftrag verarbeiteten Daten ausgeschlossen.

15.5 Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieser Vereinbarung vor.

15.6 Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle

• Der Betrieb erfolgt ausschließlich in Rechenzentren der Hetzner Online GmbH in Deutschland. Zutrittskontrolle, Videoüberwachung und Sicherheitspersonal stellt der Rechenzentrumsbetreiber. Hetzner ist nach ISO/IEC 27001 zertifiziert und lässt seine Maßnahmen jährlich durch den TÜV Rheinland prüfen.
• Beim Auftragnehmer selbst werden keine Server betrieben und keine Daten des Auftraggebers lokal gespeichert.

Zugangskontrolle

• Zugang zur Verwaltung nur mit persönlichem Passwort und Zwei-Faktor-Authentifizierung.
• Zugang zum Hosting-Konto des Auftragnehmers mit Zwei-Faktor-Authentifizierung.
• Passwörter der Nutzer werden nur als Hash mit individuellem Salt (scrypt) gespeichert, niemals im Klartext.
• Begrenzung von Anmeldeversuchen zum Schutz gegen das Erraten von Passwörtern.
• Anmeldesitzungen laufen automatisch ab. Anmelde-Links per E-Mail sind einmalig nutzbar und zeitlich begrenzt.
• Zugangsschlüssel zu Speicher- und Maildiensten liegen nur in einer geschützten Konfigurationsdatei auf dem Server, nicht im Programmcode.
• Endgeräte zur Verwaltung sind durch Passwort bzw. Bildschirmsperre geschützt und verschlüsselt.

Zugriffskontrolle

• Jeder Auftraggeber erhält eine eigene, getrennte Datenbank und einen eigenen Dateibereich. Ein Zugriff auf Daten anderer Auftraggeber ist technisch ausgeschlossen.
• Anmeldungen gelten nur für die eigene Portal-Adresse des Auftraggebers.
• Rollen- und Rechtekonzept: Der Auftraggeber legt fest, welche Mitarbeiter und welche Kundenkontakte welche Bereiche sehen und bearbeiten dürfen.
• Der Dateispeicher ist nicht öffentlich. Dateien werden nur nach Prüfung der Berechtigung ausgeliefert.
• Ein Support-Zugriff durch den Auftragnehmer erfolgt nur bei Bedarf, ist im Portal sichtbar gekennzeichnet und zeitlich auf 12 Stunden begrenzt.

Trennungskontrolle

• Strikte Trennung der Daten je Auftraggeber (eigene Datenbank, eigener Speicherbereich, eigener Programmprozess).
• Interne Schnittstellen zwischen Verwaltung und Portalen sind mit einem eigenen Schlüssel je Auftraggeber gesichert und von außen nicht erreichbar.

Pseudonymisierung

• Dateien werden im Speicher unter zufälligen Kennungen abgelegt, nicht unter Namen von Kunden oder Personen.

2. Integrität

Weitergabekontrolle

• Sämtliche Verbindungen zu Webseite, Portal und Verwaltung sind per TLS (https) verschlüsselt. Die Zertifikate werden automatisch erneuert.
• Die Übertragung zum Dateispeicher erfolgt verschlüsselt.
• E-Mails werden verschlüsselt über Google Workspace versendet und sind per SPF, DKIM und DMARC abgesichert.
• Schutz gegen Anfragen fremder Webseiten (CSRF) und Sicherheits-Header im Browser.

Eingabekontrolle

• Wichtige Vorgänge werden mit Nutzer und Zeitpunkt protokolliert, zum Beispiel Freigaben, Änderungswünsche, Kommentare, Uploads sowie Vertrags- und Verwaltungsvorgänge.

3. Verfügbarkeit und Belastbarkeit

• Automatische Sicherung aller Daten jede Nacht.
• Dateispeicher mit Löschschutz.
• Rund um die Uhr laufende Erreichbarkeitsüberwachung mit sofortiger Benachrichtigung bei Ausfällen.
• Stromversorgung, Klimatisierung, Brandschutz und Redundanz des Rechenzentrums durch Hetzner.
• Regelmäßige Sicherheitsupdates von Betriebssystem und Software.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Die Maßnahmen werden mindestens einmal jährlich und bei wesentlichen Änderungen am System überprüft und angepasst.
• Auftragskontrolle: Verarbeitung nur nach Weisung des Auftraggebers und im Umfang des Vertrags. Unterauftragnehmer werden nur nach Prüfung ihrer Datenschutz- und Sicherheitsmaßnahmen und mit eigenem Vertrag nach Art. 28 DSGVO eingesetzt.
• Löschung und Rückgabe: Export aller Daten als ZIP-Datei jederzeit möglich; Löschung nach Vertragsende gemäß Ziffer 11.

Anlage 2: Gegenwärtige Subunternehmer

Anlage 3: Weisungsberechtigte Personen

1. Weisungserteilung (Auftraggeber): der Inhaber bzw. die Inhaberin des KREATIVNOTE-Kontos des Auftraggebers (bei der Registrierung angegebene Person und Login-E-Mail-Adresse) sowie von ihm in Textform benannte Vertreter.

2. Weisungsentgegennahme (Auftragnehmer): Jan Ehret, hallo@kreativnote.de

Stand: 16.10.2026