6.) Datenverarbeitungsvereinbarng santu

santu/ Globecharge

NACHTRAG ZUR DATENVERARBEITUNGSVEREINBARUNG FÜR NUTZER VON SHOPFACTORY UND SANTU
Dieser Nachtrag zur Datenverarbeitungsvereinbarung („Nachtrag“) gilt für Abonnenten von Dienstleistungen, die über die Webseiten von Santu, ShopFactory und GlobeCharge zur Verfügung gestellt werden, einschließlich der ShopFactory Cloud („Dienstleistungen“), überlassen von und vertraglich festgelegt zwischen Santu Pty. Ltd. (SANTU) und dem in der folgenden Tabelle angegebenen Abonnenten („Abonnent“).
Im Auftrag von: SANTU Pty. Ltd
Unterzeichnet von:
Name: Steffan Klein
Titel: CEO
Datum: 6. April 2018
Anschrift: 5 Hampshire Rd Glen Waverley, Victoria Australia 3150

Name des Abonnenten: Uwe Siebers
Unterzeichnet von: Uwe Siebers
Titel: ceo
Name des Unternehmens: Thysanotus-Versand, Einzelunternehmen, Onlineversand mit Gartenartikeln, Saaten, Blumenzwiebeln, Outdoorbekleidung, Stiefeln und Zubehör.

SANTU-Benutzername: UweSiebers@t-online.de
Datum: 29.04.2019

Anschrift: Schulweg 21, 28876 Oyten

Dieser Nachtrag enthält die Datenverarbeitungsbestimmungen und die beigefügten Anhänge 1 bis 2 und er ergänzt die SANTU-Geschäftsbedingungen, die unter http://santu.com/en/terms einsehbar sind (in ihrer jeweils aktuellen Fassung) und zwischen dem Abonnenten und SANTU gelten oder sich auf eine andere Vereinbarung zwischen dem Abonnenten und SANTU beziehen, welche die Nutzung der Serviceangebote durch den Abonnenten regelt (die „Zustimmung“). Dieser Nachtrag wird ab dem Tag wirksam, an dem SANTU einen vollständigen und ausgeführten Nachtrag vom Abonnenten in Übereinstimmung mit den Anweisungen unter den nachfolgenden Paragraphen A. und B. (dem „Wirksamwerden des Nachtrags“) erhält.
A. Anweisungen: Dieser Nachtrag wurde bereits vorab im Namen von SANTU unterzeichnet. Für das Inkrafttreten dieses Nachtrags muss der Abonnent: a. die Tabelle oben durch Unterzeichnung, Datierung und Bereitstellung des vollständigen Namens des Abonnenten, der vollständigen Bezeichnung der juristischen Person, die das Unternehmen betreibt, des Benutzernamens sowie der Anschrift und den Angaben des Unterzeichners ausfüllen und b. den ausgefüllten und unterschriebenen Nachtrag an SANTU als Anhang einer EMail an die Adresse gdpr@santu.com senden.

B. Wirksamkeit. a. Dieser Nachtrag wird nur dann wirksam, wenn er gemäß Paragraph A. oben und diesem Paragraphen B. ausgeführt und an SANTU übermittelt wird, und nur dann, wenn alle Positionen in der Tabelle akkurat und vollständig ausgefüllt sind. Wenn der Abonnent Streichungen oder andere Änderungen an diesem Nachtrag vornimmt, ist dieser Nachtrag ungültig und wirkungslos. Dieser Nachtrag gilt nur für
Santu Pty. Ltd. Nachtrag zur Datenverarbeitung, Seite 2 von 10 Seiten

die Nutzung des SANTU-Kontos durch den Abonnenten (oder dessen Mitarbeiter bzw. Subunternehmer), das den vollständigen Namen der juristischen Person des Abonnenten enthält (und dem in der obigen Tabelle angegebenen Namen entspricht) und nur für das Konto, auf das mit dem oben aufgeführten Benutzernamen zugegriffen wird, und nur dann, wenn für das Konto eine vollständige Bezahlung erfolgt ist. b. Die das Abonnement unterzeichnende Person garantiert gegenüber SANTU, dass sie über die rechtliche Befugnis verfügt, den Abonnenten zu verpflichten und rechtmäßig in der Lage ist, Verträge zu schließen (z. B. nicht minderjährig ist). c. Dieser Nachtrag endet automatisch mit der Beendigung des Abonnements für die Dienstleistung, oder wenn es früher gemäß den Bestimmungen dieses Nachtrags gekündigt wurde.

C. Zweck.
In dieser Datenverarbeitungsvereinbarung ist SANTU der Datenverarbeiter und Sie als Abonnent von SANTU-Dienstleistungen sind der Datenverantwortliche.
IN DER ERWÄGUNG, DASS
(A) Der Datenverantwortliche bestimmte Dienste (wie in Anhang 1 definiert) weitervergeben möchte, was mit der Verarbeitung von Daten durch den Datenverarbeiter verbunden ist.
(B) Die Vertragsparteien die Durchführung eine Datenverarbeitungsvereinbarung anstreben, welche die Anforderungen des geltenden Rechtsrahmens in Bezug auf die Datenverarbeitung und der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und den freien Datenverkehr sowie die Aufhebung der Richtlinie 95/46 / EG (Datenschutz-Grundverordnung) erfüllt.
(D) Die Vertragsparteien ihre Rechte und Pflichten festlegen möchten.
WIRD FOLGENDES VEREINBART:
1. BEGRIFFSBESTIMMUNGEN UND AUSLEGUNG
Sofern in diesem Vertrag nichts anderes festgelegt ist, haben die in diesem Vertrag verwendeten Groß- und Kleinbuchstaben (einschließlich der Randnummern hierzu) folgende Bedeutung:
1.1.1. „Vereinbarung“ bezeichnet diese Datenverarbeitungsvereinbarung und gegebenenfalls alle Zeitpläne. 1.1.2. „Datenverarbeiter“ oder „Verarbeiter“ bzw. „SANTU“ bezeichnet uns. 1.1.3. „Datenverantwortlicher“ oder „Verantwortlicher“ bzw. „Abonnent“ bezeichnet Sie als Abonnenten unserer Dienstleistungen. 1.1.4. „DSGVO“ bezeichnet die Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 über den Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und den freien Datenverkehr sowie etwaige Ersatzrichtlinien oder -regelungen zur Einführung gleichwertiger Verpflichtungen. 1.1.5. „Daten“ bezeichnet grundlegende personenbezogene Daten des Abonnenten, wie in der DSGVO definiert, sowie grundlegende personenbezogene Daten des Kunden oder des Verantwortlichen, einschließlich Name, Anschrift und Kontaktdaten. 1.1.6. „Kunde“ bezeichnet eine Person, die physische oder digitale Waren oder Dienstleistungen von einem Abonnenten käuflich erwirbt.
Santu Pty. Ltd. Nachtrag zur Datenverarbeitung, Seite 3 von 10 Seiten

1.1.7. „Software-Schnittstellen“ bezeichnet die Schnittstellen und Bedienungsoberflächen der Software, die als Teil der Dienstleistungen zur Verfügung gestellt werden und die es dem Datenverantwortlichen ermöglichen mit unseren Dienstleistungen zu interagieren bzw. sie zu bedienen und zu instruieren. 1.1.8. „Auftragsverarbeiter“ bezeichnet einen Datenverarbeiter, der vom Datenverantwortlichen für seine Dienstleistungen separat beauftragt wurde. 1.1.9. „Konto“ bezeichnet ein vollständig bezahltes SANTU-Konto. 1.1.10. „SANTU-Netzwerk“ bezeichnet die Einrichtungen des Datenzentrums, Server, Netzwerkgeräte und Host-Softwaresysteme (z. B. virtuelle Firewalls), die von SANTU genutzt werden, um die Dienstleistungen zu erbringen. 1.1.11. „Verarbeitung“ hat die Bedeutung, die dem Begriff in der Richtlinie zukommt, und „verarbeiten“, „verarbeitend“ und „verarbeitet“ werden dementsprechend interpretiert.

2. GEGENSTAND DIESER VEREINBARUNG 2.1. Umfang und Aufgaben. Dieser Nachtrag gilt, wenn Daten von SANTU im Auftrag des Abonnenten verarbeitet werden. 2.2. Einhaltung von Gesetzen. Jede Partei wird alle für sie geltenden Gesetze, Regeln und Vorschriften einhalten und sich bei der Umsetzung dieses Nachtrags, einschließlich aller gesetzlichen Anforderungen in Bezug auf den Datenschutz, daran binden. 2.3. Anweisungen für die Datenverarbeitung. SANTU verarbeitet Daten gemäß der Anweisungen des Abonnenten. Die Parteien sind sich einig, dass dieser Nachtrag die vollständigen und endgültigen Anweisungen des Abonnenten gegenüber SANTU in Bezug auf die Verarbeitung von Daten beinhaltet. Eine Verarbeitung außerhalb des Geltungsbereichs dieses Nachtrags (sofern vorhanden ) erfordert eine vorherige schriftliche Vereinbarung zwischen SANTU und dem Abonnenten zu zusätzlichen Anweisungen für die Verarbeitung, einschließlich der Vereinbarung zusätzlicher Gebühren, die der Abonnent an SANTU für die Durchführung derartiger Anweisungen zu entrichten hat. Der Abonnent kann diesen Nachtrag kündigen, wenn SANTU sich weigert, vom Abonnenten geforderte Anweisungen zu befolgen, die außerhalb des Geltungsbereichs dieses Nachtrags liegen. 2.4. Zugriff oder Nutzung. SANTU wird nicht auf Daten zugreifen oder diese verwenden, außer falls dies notwendig ist, um die vom Abonnenten initiierten Dienstleistungen auszuführen. 2.5. Offenlegung. SANTU wird Regierungen gegenüber keine Daten offenlegen, außer wenn dies notwendig ist, um dem Gesetz oder einer gültigen und verbindlichen Anordnung einer Strafverfolgungsbehörde (wie einer Vorladung oder einer gerichtlichen Anordnung) zu entsprechen. Wenn eine Strafverfolgungsbehörde SANTU eine Forderung zu Daten zukommen lässt, wird sich SANTU bemühen, die Strafverfolgungsbehörde zu ersuchen, diese Daten direkt vom Abonnenten anzufordern. Im Rahmen dieser Bemühungen kann SANTU die grundlegenden Kontaktinformationen des Abonnenten der Strafverfolgungsbehörde zur Verfügung stellen. Wenn SANTU gezwungen ist, Daten einer Strafverfolgungsbehörde gegenüber offenzulegen, wird SANTU dem Abonnenten eine angemessene Mitteilung zu dieser Forderung zukommen lassen, um dem Abonnenten zu ermöglichen, eine rechtliche oder sonstige Abwehr einzuleiten, es sei denn, SANTU ist dies gesetzlich untersagt. 2.6. Personal von SANTU. SANTU untersagt seinem Personal die Verarbeitung von Daten ohne Genehmigung durch SANTU. SANTU wird seinen Mitarbeitern angemessene vertragliche
Santu Pty. Ltd. Nachtrag zur Datenverarbeitung, Seite 4 von 10 Seiten

Verpflichtungen auferlegen, einschließlich der einschlägigen Verpflichtungen in Bezug auf Vertraulichkeit, Datenschutz und Datensicherheit. 2.7. Kontrollmöglichkeiten für Abonnenten. Unsere Serviceangebote bieten Abonnenten Kontrollelemente, die es dem Abonnenten ermöglichen, Daten über die Nutzung unserer Softwareschnittstellen zu verarbeiten. Der Abonnent ist verantwortlich für eine ordnungsgemäße (a) Nutzung der Dienste, (b) Verwendung der verfügbaren Softwareschnittstellen-Steuerelemente in Verbindung mit den Dienstleistungen (einschließlich der Sicherheitskontrollen) und (c) Durchführung von Schritten, wie der Abonnent es für angemessen hält, entsprechende Sicherheit, Datensicherung, Löschung und Backups von Daten vorzunehmen, welche die Verwendung von Verschlüsselungstechnologie einschließen können, um Daten vor unbefugtem Zugriff zu schützen und Daten routinemäßig zu archivieren. 2.8. Datenübermittlung. Daten werden innerhalb des SANTU-Netzwerks verarbeitet, das sich in die Europäischen Union befindet. SANTU wird Daten nicht grenzüberschreitend übertragen, es sei denn, SANTU wird vom Datenverantwortlichen dazu beauftragt oder wenn es notwendig ist, das Gesetz oder eine gültige und verbindliche Anordnung einer Strafverfolgungsbehörde (wie eine Vorladung oder eine gerichtliche Anordnung) einzuhalten, wie in Abschnitt 2.5 erläutert. In allen Fällen stützen sich die Parteien, sofern nicht anders vereinbart, auf von der EU anerkannte Standardvertragsklauseln für die Übertragung von Daten, um die Einhaltung der DSGVO sicherzustellen.
3. DATENSCHUTZ
3.1 Der für die Verarbeitung Verantwortliche und der Datenverarbeiter müssen die DSGVO einhalten.
3.2 Der Verarbeiter verarbeitet alle Daten gesetzeskonform, fair und in transparenter Weise in Bezug auf die zur Verfügung gestellten Daten.
4. DATENVERARBEITUNG
4.1 Der Datenverarbeiter hat folgende Pflichten:
4.1.1 die Daten nicht zu anderen Zwecken als zur Erbringung der Dienste und zur Erfüllung seiner Verpflichtungen aus dem Vertrag gemäß den dokumentierten Anweisungen des Datenverantwortlichen zu verarbeiten; wenn er aus irgendwelchen Gründen die Einhaltung nicht gewährleisten kann, erklärt er sich damit einverstanden, den Datenverantwortlichen unverzüglich darüber zu informieren, dass er nicht in der Lage ist, dies zu tun;
4.1.2 den Datenverantwortlichen unverzüglich zu informieren, wenn er der Ansicht ist, dass Anweisungen des Datenverantwortlichen gegen geltende Datenschutzgesetze und -vorschriften verstoßen;
4.1.3 er darf die Daten nicht an andere Personen als an seine Mitarbeiter weitergeben, soweit dies zur Erfüllung ihrer Verpflichtungen aus dem Vertrag erforderlich ist, und er muss sicherstellen, dass dieses Personal gesetzlichen oder vertraglichen Geheimhaltungsverpflichtungen unterliegt;
4.1.4 er muss geeignete technische und organisatorische Maßnahmen gegen unbefugte oder unrechtmäßige Verarbeitung ergreifen und in regelmäßigen Abständen die Angemessenheit solcher Sicherheitsmaßnahmen bewerten und diese erforderlichenfalls anpassen; diese Sicherheitsmaßnahmen sind in Artikel 7 dieser Vereinbarung beschrieben.
Santu Pty. Ltd. Nachtrag zur Datenverarbeitung, Seite 5 von 10 Seiten

4.1.5 er muss sicherstellen, dass die Verarbeitung von Daten nur im Einklang mit dem Grundsatz des begründeten Informationsbedarfs erfolgt, d. h. Informationen werden nur denjenigen Personen zur Verfügung gestellt, die personenbezogene Daten für ihre Tätigkeit in Bezug auf die Erbringung der Dienstleistungen benötigen;
4.1.6 er muss den Datenverantwortlichen unverzüglich benachrichtigen im Fall von (i) rechtsverbindlichem Ersuchen um Offenlegung personenbezogener Daten durch eine betroffene Person, eine Justiz- oder Aufsichtsbehörde, sofern dies nicht anderweitig verboten ist, wie die strafrechtliche Verpflichtung, die Vertraulichkeit einer gerichtlichen Untersuchung zu wahren und die damit verbundene Datenverwaltung zu unterstützen, (ii) jedem zufälligen oder unautorisierten Zugriff, und im Allgemeinen bei jeder rechtswidrigen Verarbeitung, und er muss den Datenverantwortlichen dabei unterstützen;
4.1.7 er muss alle angemessenen Anfragen des Datenverantwortlichen in Bezug auf die Verarbeitung der Daten oder im Zusammenhang mit dem Vertrag innerhalb einer angemessenen Frist bearbeiten;
4.1.8 er muss dem Datenverantwortlichen innerhalb einer angemessenen Frist alle Informationen zur Verfügung zu stellen, die für den Nachweis der Einhaltung der geltenden Datenschutzgesetze und -vorschriften erforderlich sind;
4.1.9 er darf keinen weiteren Datenverarbeiter ohne die schriftliche Zustimmung des Datenverantwortlichen oder die ausdrückliche Zustimmung des Datenverantwortlichen über Maßnahmen in unseren Software-Schnittstellen beteiligen.
4. 1.10 er muss den für die Datenverarbeitung Verantwortlichen unterstützen, vorbehaltlich einer angemessenen zusätzlichen Vergütung, mit Haftung des Datenverantwortlichen gemäß der DSGVO.
4. 1.11 er muss alle angemessenen Maßnahmen ergreifen, um den Datenverantwortlichen bei der Beantwortung zu Anfragen von Datensubjekten zu unterstützen, durch die Bereitstellung von Software-Schnittstellen zur Löschung und Modifizierung von Daten, wenn er von Kunden dazu aufgefordert wird oder die Daten einem Kunden auf Anfrage zur Verfügung stellen.
4.1.12 er muss unverzüglich den Datenverantwortlichen per E-Mail von jedem rechtswidrigen Zugang zu auf dem Santu-Netzwerk gespeicherten Daten benachrichtigen, der zu Verlust, Offenlegung oder Änderung von Daten führen kann, und er muss bei Bedarf mit dem Verantwortlichen kooperieren, um angemessene Schritte zu unternehmen, welche die Auswirkungen mildern und einen aus dem rechtswidrigen Zugang resultierenden Schaden minimieren. Es ist die alleinige Verantwortung des Datenverantwortlichen, jederzeit akkurate Kontaktinformationen über die Einstellungen des SANTU- oder ShopFactory-Cloud-Kontos zu pflegen und die Zustellbarkeit von E-Mails von SANTU zu gewährleisten.
4.1.12 er muss die Sicherheit der Daten während einer Übertragung an einen Drittverarbeiter sicherstellen, der vom Datenverantwortlichen eingebunden wurde.
4.2. Der Datenverantwortliche darf keine personenbezogenen Daten von Kunden erheben, die unter besondere Kategorien gemäß Artikel 9 DSGVO fallen. Dazu gehören personenbezogene Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Mitgliedschaft in Gewerkschaften hervorgehen, sowie genetische Daten und biometrische Daten zum Zwecke der eindeutigen Identifizierung einer natürlichen Person oder Daten bezüglich Gesundheit bzw. Daten bezüglich des Sexuallebens oder der sexuellen Orientierung einer natürlichen Person.
Santu Pty. Ltd. Nachtrag zur Datenverarbeitung, Seite 6 von 10 Seiten

4.3. Der Datenverantwortliche bestätigt, dass SANTUs Meldepflicht bezüglich eines ungesetzlichen Zugangs zu Daten nicht als eine Anerkennung irgendeines Verschuldens von SANTU oder einer Haftung von SANTU in Bezug auf den rechtswidrigen Zugang auszulegen ist oder ausgelegt werden kann.
LEISTUNGSBESCHREIBUNG
Wir bieten Dienstleistungen zur Datenverarbeitung, wie in Anlage 1 beschrieben, für Datenverantwortliche, die Online-Bestellungen über Online-eCommerce-Einrichtungen erhalten.
6. DATENVERARBEITUNG
6.1. Wir bieten die in Anhang 1 aufgelisteten Datenverarbeitungsdienste an.
Darin einbezogene Datenkategorien sind personenbezogene Daten wie Name, Adresse und Kontaktdaten. Daten besonderer Kategorien gemäß Artikel 9 DSGVO sind davon ausgenommen.
Datensubjekte sind Abonnenten und Kunden der Abonnenten, die mit Kunden über die Dienstleistungen interagieren.
Die Verarbeitung von Kundendaten endet, sobald der Abonnent sein Abonnement beendet. Daten von Abonnenten werden 8 Jahre lang gespeichert, um den staatlichen Vorschriften zu entsprechen.
7. UNTERAUFTRAGSVERGABE
Der Verantwortliche autorisiert den Einsatz von allen aktuellen und zukünftigen Subunternehmern des Verantwortlichen für die Bereitstellung, Sicherung und Verwaltung des SANTU-Netzwerks sowie zur Bereitstellung von Support-Dienstleistungen, um den Verantwortlichen bei der Verwaltung und Nutzung der von SANTU bereitgestellten Dienste zu unterstützen. Sofern SANTU sich des Einsatzes oder der Autorisierung eines Unterauftragnehmers bedient, wird SANTU:
7.1 den Zugriff des Subunternehmers auf Daten ausschließlich auf das beschränken, was zur Aufrechterhaltung der Serviceangebote oder zur Erbringung der Serviceangebote an den Abonnenten und etwaige Endbenutzer in Übereinstimmung mit der Dokumentation erforderlich ist. SANTU wird dem Unterauftragnehmer den Zugriff auf Daten für andere Zwecke untersagen;
7.2 dem Subunternehmer schriftlich entsprechende vertragliche Verpflichtungen auferlegen, die nicht weniger Schutz als dieser Nachtrag bieten, einschließlich der vertraglichen Verpflichtungen in Bezug auf Vertraulichkeit, Datenschutz, Datensicherheit und Prüfungsrechte.
7.3 für dessen Einhaltung der Verpflichtungen aus diesem Nachtrag weiterhin verantwortlich sein sowie für jegliche Handlungen oder Unterlassungen des Subunternehmers, die dazu führen, dass SANTU gegen die Verpflichtungen von SANTU gemäß dieses Nachtrags verstößt.
7.4 den Verantwortlichen informieren, bevor Änderungen an den Vereinbarungen mit dem Subunternehmer vorgenommen werden.
8. Prüfung technischer und organisatorischer Maßnahmen
SANTU verlässt sich auf externe Auditoren, um die Angemessenheit unserer Sicherheitsmaßnahmen zu überprüfen, einschließlich der Sicherheit der physischen Rechenzentren, über die SANTU die Dienstleistungen bereitstellt. Die von SANTU angewendeten organisatorischen und technischen Sicherheitsmaßnahmen für Daten und Speicher- und Verarbeitungssysteme erfüllen die PCI DSS v3.2
Santu Pty. Ltd. Nachtrag zur Datenverarbeitung, Seite 7 von 10 Seiten

Standards, die die DSGVO-Sicherheitsspezifikationen überschreiten. Die Einhaltung der PCIStandards wird von unabhängigen Prüfern festgelegt und führt zu einem vierteljährlichen PCIKonformitätsbericht. Der Controller stimmt zu, eine Kopie des neuesten PCI-Berichts zur Prüfung und Inspektion als angemessene und einzige Antwort des Prozessors zu akzeptieren, um DSGVO-Artikel 28 (j) einzuhalten und den PCI-Bericht als vertrauliches Material zu behandeln.
9. Geheimhaltung
Der Abonnent stimmt zu, dass die Details dieses Nachtrags nicht öffentlich bekannt sind. Der Abonnent wird den Inhalt dieses Nachtrags als vertrauliches Material behandeln und nicht an Dritte weitergeben, sofern dies nicht gesetzlich vorgeschrieben oder erforderlich ist, um eine rechtliche Überprüfung durchzuführen.
10. Gesamte Vereinbarung; Konflikt.
Mit Ausnahme der Änderungen durch diesen Nachtrag bleibt die Vereinbarung vollumfänglich rechtswirksam und durchsetzbar. Im Falle eines Konflikts zwischen der Vereinbarung und diesem Nachtrag haben die Bedingungen dieses Nachtrags Vorrang.

Santu Pty. Ltd. Nachtrag zur Datenverarbeitung, Seite 8 von 10 Seiten

Anhang 1 Beschreibung der Dienstleistungen
Das vorrangige Ziel der Dienstleistungen ist es, Daten im Auftrag des Abonnenten zu verarbeiten und zu schützen, damit der Abonnent Verträge mit Kunden abschließen kann, um Bestellungen anzunehmen und zu bearbeiten und seine Produkte und Dienstleistungen an seine Kunden zu vertreiben.
Die Datenverarbeitung beinhaltet die Durchführung der folgenden Aufgaben: • Erfassung • Lieferung • EDV • Speicherung • Anzeige • Handhabung • Bearbeitung • Export • Übertragung • Recherche • Analyse • Löschung

Santu Pty. Ltd. Nachtrag zur Datenverarbeitung, Seite 9 von 10 Seiten

Anhang 2
1) Beschreibung der Sicherheitsmaßnahmen.

Der Datenverarbeiter verfügt über die notwendigen technischen und organisatorischen Maßnahmen zum Schutz der Daten in Übereinstimmung mit der DSGVO.

Die gesamte Datenverarbeitung wird vom Datenverarbeiter unter eigener Kontrolle und mithilfe von sicheren und DSGVO-konformen Servern durchgeführt, die von unserem Unterauftragnehmer Amazon Web Services, Inc. (AWS) in Europa verwaltet werden.

2) Physische Sicherheit a) Physische Zugriffskontrollen. Die physischen Komponenten des SANTU-Netzwerks sind in unauffälligen Einrichtungen von AWS (die „Einrichtungen“) untergebracht. Es werden physische Schrankensteuerungen verwendet, um unbefugten Zugang zu den Einrichtungen sowohl an der Eingrenzung als auch an den Zugangsstellen zum Gebäude zu verhindern. Der Durchgang durch die physischen Barrieren der Einrichtungen erfordert entweder eine Validierung mit elektronischer Zugangskontrolle (z. B. Kartenzugangssysteme etc.) oder die Überprüfung durch Sicherheitspersonal (z. B. Vertrags- oder hauseigener Sicherheitsdienst, Empfangsmitarbeiter usw.). Mitarbeiter und Auftragnehmer erhalten Lichtbildausweise, die getragen werden müssen, während sich die Mitarbeiter und Auftragnehmer in einer der Einrichtungen befinden. Besucher sind verpflichtet, sich bei dem dafür vorgesehenen Personal anzumelden, müssen sich ausweisen können und erhalten einen Besucherausweis, der getragen werden muss, während sich der Besucher in einer der Einrichtungen befindet. Während des Besuchs der Einrichtungen müssen Besucher von autorisierten Mitarbeitern oder Auftragnehmern begleitet werden. b) Begrenzter Zugang für Mitarbeiter und Auftragnehmer. AWS ermöglicht nur den Mitarbeitern und Auftragnehmern Zugang zu den Einrichtungen, die über eine rechtmäßige geschäftliche Notwendigkeit für derartige Zugangsprivilegien verfügen. Wenn bei einem Mitarbeiter oder Auftragnehmer die ihm zugewiesene geschäftliche Notwendigkeit der Zugangsprivilegien nicht mehr gegeben ist, werden die Zugangsberechtigungen sofort widerrufen, auch wenn der Mitarbeiter oder Auftragnehmer weiterhin ein Mitarbeiter von AWS oder verbundenen Unternehmen ist. c) Physische Sicherheitsschutzmaßnahmen. Alle Zugangspunkte (außer den Haupteingangstüren) sind stets gesichert (zugeschlossen). Zugangspunkte zu den Einrichtungen werden von Videoüberwachungskameras überwacht, die alle Personen erfassen, die die Einrichtungen betreten. AWS setzt auch elektronische Einbruchmeldesysteme ein, die dazu dienen, unbefugten Zugang zu den Einrichtungen zu erkennen, einschließlich der Überwachung von Schwachstellen (z. B. Haupteingangstüren, Notausgangstüren, Dachluken, Laderampen usw.) mit Türkontakten, Glasbruchvorrichtungen, Bewegungserkennung in Innenräumen oder anderen Geräten zur Erkennung von Personen, die versuchen, sich Zugang zu den Einrichtungen zu verschaffen. Der gesamte physische Zugang zu den Einrichtungen durch Mitarbeiter und Auftragnehmer wird protokolliert und regelmäßig überprüft.

3) Digitale Sicherheit a) Firewalls kontrollieren die Übertragung von Daten zwischen unseren vertrauenswürdigen internen Netzwerken und den nicht vertrauenswürdigen externen Netzwerken sowie den
Santu Pty. Ltd. Nachtrag zur Datenverarbeitung, Seite 10 von 10 Seiten

7.) Vereinbarung zur Auftragsverarbeitung goneo

zwischen dem/der
Thysanotus-Versand Uwe Siebers Schulweg 21 28876 Oyten
(Name, Strasse, Hausnummer, PLZ und Ort wie im goneo-Kundencenter hinterlegt) 115255
(Kundennummer)

- nachstehend Auftraggeber genannt - und der
goneo Internet GmbH - Marienwall 27 - 32423 Minden

- nachstehend Auftragnehmer genannt -

1 Gegenstand und Dauer des Auftrags
1.1 Gegenstand des Auftrags
Gegenstand des Auftrags ist die Erbringung von Webhosting-Dienstleistungen gemäß folgender zwischen den Parteien vereinbarten Leistungsvereinbarung:
• Auftrag fur Webhosting laut Leistungsbeschreibung bei Auftragserteilung

• Die allgemeine Geschäftsbedingungen (AGB) des Auftragnehmers

Die im Einzelnen zu erbringenden Dienstleistungen sind in diesen Dokumenten näher definiert und beschrieben.
1.2 Dauer des Auftrags
Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit der Leistungsvereinbarung.

2 Konkretisierung des Auftragsinhalts
2.1 Umfang, Art und Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten
Umfang, Art und Zweck der Erhebung, Verarbeitung und / oder Nutzung personenbezogener Daten durch den Auftragnehmer fur den Auftraggeber sind in der Leistungsvereinbarung beschrieben. Ergänzend gelten die Angaben in Ziffern 2.2 und 2.3.

Ist Vertragsbestandteil die Registrierung von Domains bei Registrierungsstellen, die ihren Sitz in einem Drittland haben (außerhalb der Europaischen Union und des Europaischen Wirtschaftsraums), ist vereinbart, dass der Auftragnehmer personenbezogene Daten - unter Beachtung der zwingend anwendbaren Vorschriften - an diese Registrierungsstellen übermittelt.
Ansonsten findet die Erbringung der vertraglich vereinbarten Datenverarbeitung ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt.
2.2 Art der Daten
Gegenstand der Verarbeitung personenbezogener Daten sind folgende Datenarten und -kategorien:

Die abgespeicherten und verarbeiteten Daten werden allein vom Auftraggeber durch Produktwahl, Konfiguration, Nutzung der Dienste und seinen Umgang mit den Daten definiert. Der Auftragnehmer hat allenfalls Zugriff hierauf im Zusammenhang mit Wartung, Support und Anlagenbetrieb.
2.3 Kreis der Betroffenen
Der Kreis der durch den Umgang mit ihren personenbezogenen Daten im Rahmen dieses Auftrags Betroffenen werden allein vom Auftraggeber durch seine Nutzung der Dienste und seinen Umgang mit den Daten bestimmt.

3 Technisch-organisatorische Maßnahmen
(1) Der Auftragnehmer hat die in der Anlage zu dieser Vereinbarung niedergelegten technisch­ organisatorischen Maßnahmen vor Beginn der Verarbeitung umzusetzen. Soweit die Prüfung/ein Audit des Auftraggebers einen Anpassungsbedarf ergibt, ist dieser einvernehmlich auf Grundlage eines Nachtrags zu dieser Vereinbarung, die auch die kommerziellen Bedingungen dafür regelt, umzusetzen.
(2) Der Auftragnehmer hat die Sicherheit gem. Artt. 28 Abs. 3 lit. c, 32 DS-GVO insbesondere in Verbindung mit Art. 5 Abs. 1, Abs. 2 DS-GVO herzustellen. lnsgesamt handelt es sich bei den zu treffenden Maßnahmen um Maßnahmen der Datensicherheit und zur Gewahrleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der lntegritat, der Verfügbarkeit sowie der Belastbarkeit der Systeme. Dabei sind der Stand der Technik, die lmplementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos fi.ir die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DS-GVO zu berücksichtigen. Einzelheiten in Anlage 1.
(3) Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. lnsoweit ist es dem Auftragnehmer gestattet, alternative adaquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.

4 Berichtigung, Einschränkung und Löschung von Daten
Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Berichtigung, Sperrung oder Löschung seiner Daten wenden sollte, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten. Der Auftraggeber nimmt sodann die Berichtigung, Sperrung oder Löschung der Daten selbst war. Soweit er hierzu Unterstützung des Auftragnehmers benötigt, wird diese gegen angemessene Vergütung geleistet .

5 Qualitätssicherung und sonstige Pflichten des Auftragnehmers
Der Auftragnehmer hat zusätzlich zu der Einhaltung der Regelungen dieses Auftrags gesetzliche Pflichten gemäß Art. 28 bis 33 DS-GVO; insofern gewährleistet er insbesondere die Einhaltung folgender Vorgaben:
a) Schriftliche Bestellung eines Datenschutzbeauftragten, der seine Tätigkeit gemäß Artt. 38 und 39 DS-GVO ausübt. Dessen jeweils aktuelle Kontaktdaten sind auf der Homepage des Auftragnehmers leicht zugänglich hinterlegt.
b) Die Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DS-GVO. Der Auftragnehmer setzt bei der Durchführung der Arbeiten nur Beschäftigte ein, die auf die Vertraulichkeit verpflichtet und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Der Auftragnehmer und jede dem Auftragnehmer unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend dieser Vereinbarung, der Leistungsvereinbarung sowie der Weisungen des Auftraggebers verarbeiten einschließlich der in diesem Vertrag eingeraumten Befugnisse, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind.
c) Die Umsetzung und Einhaltung aller fur diesen Auftrag erforderlichen technischen und organisatorischen Maßnahmen gemäß Art t . 28 Abs. 3 S. 2 lit. c, 32 DS-GVO [Einzelheiten in Anlage 1] .
d) Der Auftraggeber und der Auftragnehmer arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen. Der Auftragnehmer erhält hierfür eine angemessene Vergütung, es sei denn, das Tätigwerden der Aufsichtsbehorde ist durch seine Nichteinhaltung der Bestimmungen dieser Vereinbarung oder der Leistungsvereinbarung veranlasst.
e) Die unverzügliche Information des Auftraggebers Ober Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Ordnungswidrigkeits- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Auftragnehmer ermittelt.
f) Soweit der Auftraggeber seinerseits einer Kontrolle der Aufsichtsbehörde, einem Ordnungswidrigkeits- oder Strafverfahren, dem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem anderen Anspruch im Zusammenhang mit der Auftragsverarbeitung beim Auftragnehmer ausgesetzt ist, hat ihn der Auftragnehmer nach besten Kräften gegen angemessene Vergütung zu unterstutzen.

g) Der Auftragnehmer kontrolliert regelmäßig die internen Prozesse sowie die technischen und organisatorischen Maßnahmen, um zu gewährleisten, dass die Verarbeitung in seinem Verantwortungsbereich im Einklang mit den Anforderungen des geltenden Datenschutzrechts erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet wird.
h) Nachweisbarkeit der getroffenen technischen und organisatorischen Maßnahmen
gegenüber dem Auftraggeber im Rahmen seiner Kontrollbefugnisse nach Ziffer 7 dieses Vertrages.

6 Unterauftragsverhaltnisse
(1) Als Unterauftragsverhaltnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören Nebenleistungen, die der Auftragnehmer z.B. als Telekommunikationsleistungen, Post-/ Transportdienstleistungen, Wartung und Benutzerservice oder die Entsorgung von Datenträgern sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, lntegrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit der Daten des Auftraggebers auch bei ausgelagerten Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen .
(2) Der Auftraggeber stimmt der Beauftragung der nachfolgenden Unterauftragnehmer zu, mit denen der Auftragnehmer vertragliche Vereinbarungen nach Maßgabe des Art. 28 Abs. 2-4 DS-GVO abgeschlossen hat:

Firma Unterauftragnehmer Anschrift/Land Leistung
MK Netzdienste GmbH & Co . KG Marienwall 27, 32423 Minden, Deutschland Betrieb und Support von Servern in Rechenzentren (Standort Deutschland).

Eine Auslagerung auf weitere Unterauftragnehmer oder der Wechsel bestehender Unterauftragnehmer sind zulassig, soweit:
der Auftragnehmer eine solche Auslagerung auf Unterauftragnehmer dem Auftraggeber eine angemessene Zeit vorab schriftlich oder in Textform anzeigt und
der Auftraggeber nicht bis zum Zeitpunkt der Obergabe der Daten gegenüber dem Auftragnehmer schriftlich oder in Textform Einspruch gegen die geplante Auslagerung erhebt und
eine vertragliche Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DS-GVO zugrunde gelegt wird.
(3) Die Weitergabe von personenbezogenen Daten des Auftraggebers an den Unterauftragnehmer und dessen erstmaliges Tätigwerden sind erst mit Vorliegen aller Voraussetzungen für eine Unterbeauftragung gestattet.
(4) Erbringt der Unterauftragnehmer die vereinbarte Leistung außerhalb der EU/des EWR stellt der Auftragnehmer die datenschutzrechtliche Zulässigkeit durch entsprechende Maßnahmen sicher . Gleiches gilt, wenn Dienstleister im Sinne von Abs. 1 Satz 2 eingesetzt werden sollen.


(5) Eine weitere Auslagerung durch den Unterauftragnehmer ist nur unter den Voraussetzungen der vorstehenden Absätze gestattet. Dabei sind samtliche vertraglichen Regelungen in der Vertragskette auch dem weiteren Unterauftragnehmer aufzuerlegen.

7 Kontrollrechte des Auftraggebers
(1) Der Auftraggeber hat das Recht, im Benehmen mit dem Auftragnehmer Oberprüfungen durchzuführen oder durch im Einzelfall zu benennende Prüfer durchführen zu lassen. Er hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, van der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschaftsbetrieb zu überzeugen. Der Aufwand fur den Auftragnehmer durch eine lnspektion ist grundsatzlich auf einen Tag pro Kalenderjahr begrenzt.
(2) Der Auftragnehmer stellt sicher, dass sich der Auftraggeber von der Einhaltung der Pflichten des Auftragnehmers nach Art. 28 DS-GVO überzeugen kann. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.
(3) Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann erfolgen durch die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DS-GVO.
(4) Fur die Ermöglichung van Kontrollen durch den Auftraggeber kann der Auftragnehmer eine angemessene Vergütung verlangen.

8 Mitteilung bei Verstößen des Auftragnehmers
(1) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden lnformationen bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten.
Hierzu gehören u.a.
• die Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen,
• die Verpflichtung, Verletzungen des Schutzes personenbezogener Daten unverzüglich an den Auftraggeber zu melden,
• die Verpflichtung, dem Auftraggeber im Rahmen seiner lnformationspflicht gegenüber dem Betroffenen zu unterstützen und ihm in diesem Zusammenhang relevante lnformationen zur Verfügung zu stellen,
• die Unterstutzung des Auftraggebers im eventuellen Fall einer Datenschutzfolgenabschätzung,
• die Unterstützung des Auftraggebers im Fall van dessen vorheriger Konsultation einer Datenschutzaufsichtsbehorde.
(2) Fur Unterstützungsleistungen, die nicht in der Leistungsvereinbarung vorgesehen oder nicht auf ein Fehlverhalten des Auftragnehmers zurückzuführen sind, kann der Auftragnehmer eine angemessene Vergütung verlangen.

9 Weisungsbefugnis des Auftraggebers
(1) Mündliche Weisungen bestätigt der Auftraggeber unverzüglich (mind. Textform).

{2) Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, wenn er der Meinung ist, eine Weisung verstöße gegen Datenschutzvorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.
(3) Für die Umsetzung von Weisungen, die nicht in der Leistungsvereinbarung vorgesehen oder nicht auf ein Fehlverhalten des Auftragnehmers zurückzuführen sind, kann der Auftragnehmer eine angemessene Vergütung verlangen.

10 Löschung von personenbezogenen Daten
{1) Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt . Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
{2) Im Falle der Beendigung verpflichtet sich der Auftraggeber, diejenigen personenbezogenen Daten vor Vertragsbeendigung zu löschen, die er in den Diensten gespeichert hat.
{3) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.

11 Haftung und Schadensersatz
Im Fall der Geltendmachung eines Schadensersatzanspruches durch eine betroffene Person nach Art . 82 DS-GVO verpflichten sich die Parteien, sich gegenseitig zu unterstützen und zur Aufklärung des zugrundeliegenden Sachverhalts beizutragen .

12 Sonstige Vereinbarungen
Im übrigen gelten die Regelungen der zwischen den Parteien abgeschlossenen Leistungsvereinbarung.

Oyten den 23.04 .2019 Minden, den 23.04.2019

Anlage 1
Technische organisatorische Maßnahmen
Die Server zur Leistungserbringung der goneo Internet GmbH (Auftragnehmer) befinden sich im Rechenzentrum des Dienstleisters MK Netzdienste GmbH & CO. KG in Frankfurt am Main . Das Rechenzentrum ist zertifiziert nach TUV ,,Trusted Site Infrastructure".
Beim Auftragnehmer und dem Dienstleister MK-Netzdienste sind nachfolgende technische und organisatorische Maßnahmen zur Datensicherheit i.S.d. Art . 32 DSGVO getroffen worden:

1 Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO)
1.1 Zutrittskontrolle
Das Zutrittskontrollsystem (Türoffnung) zum Rechenzentrum besteht aus einer Zwei-Phasen­ Autorisierung mit Prot okollierung .
Eingangs- und Sicherheitsbereiche werden videoüberwacht mit einer kurzzeitigen Aufzeichnung. Das Gebäude ist alarmgesichert .
1.2 Zugangskontrolle
Der Zugang zu den Serversystemen für administrative Zwecke erfolgt Ober Benutzername / Kennwort innerhalb eines abgeschotteten Netzwerkes.
Beim automatischen, erstmaligen Erstellen van Zugangsdaten und auch beim manuellen Setzen von neuen Kennwörtern wird auf Kennwortsicherheit geachtet.
Für Kunden existieren Zugangsmoglichkeiten über Benutzername und Kennwort, um Webspace, Mail-Accounts und Datenbanken zu pflegen. Kennwörter werden dabei nicht im Klartext gespeichert .
1.3 Zugriffskontrolle
Es existieren unterschiedliche Berechtigungen gemäß den unterschiedlichen administrativen Aufgaben.

Kunden haben nur Zugriff auf ihre eigenen, der Leistungsbeschreibung entsprechenden Bereiche wie Webspace, E-Mail-Accounts und Datenbanken und ihren Daten und Einstellmöglichkeiten im Kundenportal.
Die Zugriffe werden über Log-Dateien protokolliert.

1.4 Trennungskontrolle
Ent wicklungs-, Test- und Live-Systeme sind getrennt eingerichtet.

2 Verschlüsselung
Der Zugang zu den Serversystemen fur administrative Zwecke erfolgt Ober verschlüsselte Verbindungen und innerhalb eines abgeschotteten, internen Netzwerkes.

Fur Kunden existieren verschlüsselte Zugriffmöglichkeiten auf ihre Bereiche wie Webspace, E-Mail­ Accounts und Datenbanken, sowie das Kundenportal.

3 Integrität (Art. 32 Abs. 1 lit. b DS-GVO)
3.1 Weitergabekontrolle
Die Weitergabe von Daten an Dienstleister zur Auftragserfullung erfolgt in verschlüsselter Form über verifizierte Kommunikationswege.
3.2 Eingabekontrolle
Protokolliert werden Änderungen, die der Kunde über das Kundenportal durchführt. Änderungen, die Support-Mitarbeiter auf Kundenwunsch durchführen, werden in einem Ticket-System protokolliert .

4 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO)
4.1 Verfügbarkeitskontrolle
• Es werden tägliche Backups der Daten in den verschiedenen Bereichen durchgeführt .

• Server sind mit redundanten Festplattensystemen und Netzteilen ausgestattet.

• Mail- und DNS-Server sind redundant vorhanden.

• Das Rechenzentrum ist mit einer unterbrechungsfreien Stromversorgung, Notstromaggregat und einem Feuermelde / -löschsystem ausgestattet.
• Server und Dienste sind durch Firewalls geschutzt und werden überwacht . Bei Ausfall oder Überlastung erfolgt eine automatische Meldung an die zuständigen Mitarbeiter.
• Systeme zur automatischen Erkennung und Verhinderung von Angriffen auf Dienste und Authentifizierungssysteme sind vorhanden.
4.2 Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DS-GVO)
Das Wiederherstellen von Backups wird regelmäßig getestet.

5 Verfahren zur regelmäßigen Überprufung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DS-GVO; Art. 25 Abs. 1 DS­ GVO)
Der Auftragnehmer prüft seine geltenden technisch-organisatorischen Maßnahmen in regelmäßigen Abständen, mindestens jahrlich auf ihre Wirksamkeit und Angemessenheit. Falls notwendig, passt er sie an veränderte Anforderungen sowie den Stand der Technik an.
Die Kompetenzen zwischen Auftraggeber und Auftragnehmer werden bei Datenverarbeitungsvertragen mittels folgender Maßnahmen abgegrenzt:
• Eindeutige Vertragsgestaltung

• Formalisierte Auftragserteilung (Online-Bestellsystem)

• Kontrolle der Vertragsausführung