Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

Fassung: 2026-08-08
Referenz: dpa@2026-08-08

1. Vertragsparteien

1.1 Verantwortlicher

Verantwortlicher ist die bei Annahme dieses Vertrags im Kundenportal bezeichnete Kundenorganisation, nachfolgend „Kunde“ oder „Verantwortlicher“ genannt.

Die für die Kundenorganisation handelnde Person bestätigt bei der elektronischen Annahme, zur verbindlichen Annahme dieses Vertrags berechtigt zu sein.

1.2 Auftragsverarbeiter

Auftragsverarbeiter ist:

Silas Nutz
handelnd unter der Geschäftsbezeichnung Mandavo Softwareentwicklung
Daimlerstraße 50
74211 Leingarten
Deutschland

E-Mail: hello@mandavotech.com

nachfolgend „Mandavo“ oder „Auftragsverarbeiter“ genannt.

2. Gegenstand und Anwendungsbereich

(1) Dieser Auftragsverarbeitungsvertrag regelt die Verarbeitung personenbezogener Daten durch Mandavo im Auftrag des Kunden im Zusammenhang mit der Nutzung des Mandavo® Catalog Renderers.

(2) Der Vertrag ergänzt den zwischen den Parteien bestehenden Hauptvertrag. Zum Hauptvertrag gehören insbesondere:

• die Allgemeinen Geschäftsbedingungen,
• das jeweilige Angebot,
• die Auftragsbestätigung,
• das im Kundenportal festgelegte Katalogprofil,
• individuell vereinbarte Leistungsbeschreibungen.

(3) Dieser Vertrag gilt ausschließlich, soweit Mandavo personenbezogene Daten nach dokumentierter Weisung des Kunden verarbeitet. Dies betrifft insbesondere personenbezogene Daten, die der Kunde in CAD-Dateien, Metadaten, Dateinamen, Referenzbilder oder sonstige Auftragsdaten einbringt.

(4) Nicht Gegenstand dieses Auftragsverarbeitungsvertrags sind Verarbeitungen, bei denen Mandavo selbst Verantwortlicher ist. Dazu gehören insbesondere:

• Verwaltung von Kunden- und Benutzerkonten,
• Vertrags- und Abrechnungsdaten,
• geschäftliche Kommunikation mit Ansprechpartnern,
• sicherheitsbezogene Portal- und Protokolldaten,
• Erfüllung eigener gesetzlicher Pflichten,
• Geltendmachung oder Verteidigung eigener Rechtsansprüche.

Für diese Verarbeitungen gilt die Datenschutzerklärung von Mandavo.

(5) Der Vertrag wird elektronisch im Kundenportal angenommen. Er wird mit der protokollierten Annahme durch eine für den Kunden handelnde Person wirksam.

3. Dauer der Verarbeitung

(1) Dieser Vertrag gilt für die Dauer des Hauptvertrags und solange Mandavo personenbezogene Auftragsdaten für den Kunden verarbeitet.

(2) Die regulären Aufbewahrungs- und Löschfristen ergeben sich aus den veröffentlichten Regelungen zur Aufbewahrung und Löschung.

(3) Auftragsdateien werden standardmäßig 30 Tage nach der abschließenden Auslieferung gelöscht, sofern keine abweichende Vereinbarung besteht.

(4) Auf dem lokalen Render-System vorhandene Kopien werden nach Abschluss des jeweiligen Verarbeitungsvorgangs oder spätestens innerhalb von 72 Stunden gelöscht.

(5) Nach der Löschung aus den produktiven Systemen können Daten für höchstens weitere 30 Tage in technisch erforderlichen Sicherungskopien enthalten sein.

(6) Vertrags-, Abrechnungs- und Nachweisdaten, die Mandavo in eigener Verantwortlichkeit verarbeitet, unterliegen nicht den Löschweisungen dieses Vertrags.

4. Art und Zweck der Verarbeitung

4.1 Art der Verarbeitung

Die Verarbeitung kann insbesondere folgende Vorgänge umfassen:

• Entgegennahme und Upload,
• Speicherung und Organisation,
• Auslesen und technische Analyse,
• Konvertierung und Aufbereitung,
• Übertragung an das von Mandavo betriebene Render-System,
• Erstellung von Produktbildern,
• Verknüpfung mit Metadaten,
• Qualitätsprüfung und Nachbearbeitung,
• Bereitstellung und Übermittlung der Ergebnisse,
• Sicherung im Rahmen technischer Backups,
• Einschränkung, Anonymisierung und Löschung.

4.2 Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zu folgenden Zwecken:

• Durchführung des vom Kunden erteilten Auftrags,
• Erstellung von Produktbildern aus Kundendaten,
• Zuordnung von Bildern zu Artikeln und Metadaten,
• Erstellung von Stichproben und Lieferpaketen,
• Qualitätsprüfung und Fehlerbehebung,
• technische Bereitstellung der Ergebnisse,
• vom Kunden angewiesene Korrekturen und Nachbearbeitungen,
• Löschung und Dokumentation der Löschung.

(3) Mandavo verwendet personenbezogene Auftragsdaten nicht für eigene Werbung, eigene Produktentwicklung, andere Kundenprojekte oder das Training von KI- beziehungsweise Machine-Learning-Modellen.

5. Kategorien betroffener Personen und Daten

5.1 Kategorien betroffener Personen

Abhängig von den vom Kunden bereitgestellten Daten können insbesondere betroffen sein:

• Beschäftigte und Ansprechpartner des Kunden,
• Beschäftigte verbundener Unternehmen,
• Lieferanten und Geschäftspartner,
• Kunden oder Interessenten des Verantwortlichen,
• Konstrukteure, Bearbeiter und freigebende Personen,
• Personen, die in Dateinamen, Metadaten oder Referenzbildern bezeichnet oder dargestellt werden.

5.2 Kategorien personenbezogener Daten

Abhängig vom jeweiligen Auftrag können insbesondere verarbeitet werden:

• Namen und geschäftliche Kontaktdaten,
• Benutzer-, Mitarbeiter- oder Bearbeiterkennungen,
• Unternehmens- und Organisationszuordnungen,
• Bestell-, Projekt- und Referenznummern,
• Artikelbezeichnungen und Dateinamen,
• Metadaten in CAD-, CSV- und Bilddateien,
• Kommentare, Freigaben und Bearbeitungsvermerke,
• Abbildungen natürlicher Personen in Referenzdaten,
• sonstige personenbezogene Daten, die der Kunde in Auftragsdateien einbringt.

5.3 Besondere Datenkategorien

(1) Der Dienst ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO oder personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO vorgesehen.

(2) Der Kunde darf solche Daten nur nach vorheriger ausdrücklicher Vereinbarung mit Mandavo übermitteln. Die Parteien legen vor der Übermittlung erforderlichenfalls zusätzliche Schutzmaßnahmen fest.

6. Weisungsrecht des Verantwortlichen

(1) Mandavo verarbeitet personenbezogene Auftragsdaten ausschließlich auf dokumentierte Weisung des Kunden, sofern Mandavo nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer bestimmten Verarbeitung verpflichtet ist.

(2) Weisungen ergeben sich insbesondere aus:

• diesem Vertrag,
• dem Hauptvertrag,
• dem Katalogprofil,
• den im Portal vorgenommenen Einstellungen,
• Aufträgen und Freigaben im Kundenportal,
• dokumentierten Support- und Änderungsanfragen,
• Weisungen in Textform.

(3) Mündliche Weisungen sind vom Kunden unverzüglich in Textform zu bestätigen.

(4) Ist Mandavo aufgrund gesetzlicher Vorschriften zu einer Verarbeitung verpflichtet, informiert Mandavo den Kunden vor der Verarbeitung über diese Verpflichtung, sofern das betreffende Recht eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

(5) Mandavo informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

(6) Mandavo ist berechtigt, die Ausführung einer datenschutzrechtlich bedenklichen Weisung auszusetzen, bis sie vom Kunden bestätigt, geändert oder zurückgenommen wurde.

(7) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung, der erteilten Weisungen und der Übermittlung personenbezogener Daten an Mandavo verantwortlich.

7. Pflichten des Auftragsverarbeiters

Mandavo verpflichtet sich:

1. personenbezogene Auftragsdaten ausschließlich im vereinbarten Umfang und nach dokumentierter Weisung zu verarbeiten;

2. sicherzustellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;

3. die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen aufrechtzuerhalten;

4. dem Kunden auf Anfrage die zur Führung seines Verzeichnisses von Verarbeitungstätigkeiten erforderlichen Informationen bereitzustellen;

5. ein eigenes Verzeichnis der Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten nach Maßgabe von Art. 30 Abs. 2 DSGVO zu führen, soweit dies gesetzlich erforderlich ist;

6. mit den zuständigen Datenschutzaufsichtsbehörden im gesetzlich erforderlichen Umfang zusammenzuarbeiten;

7. den Kunden bei der Erfüllung seiner datenschutzrechtlichen Pflichten nach Maßgabe dieses Vertrags zu unterstützen;

8. personenbezogene Auftragsdaten nach Beendigung der Verarbeitung entsprechend Abschnitt 13 zu löschen oder zurückzugeben;

9. dem Kunden die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereitzustellen;

10. den Kunden unverzüglich zu informieren, falls Mandavo der Auffassung ist, eine Weisung verstoße gegen Datenschutzrecht.

8. Unterstützung bei Betroffenenrechten

(1) Mandavo unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen durch geeignete technische und organisatorische Maßnahmen bei der Bearbeitung von Anträgen betroffener Personen nach Art. 12 bis 22 DSGVO.

(2) Geht ein Antrag einer betroffenen Person unmittelbar bei Mandavo ein und betrifft dieser personenbezogene Auftragsdaten, leitet Mandavo den Antrag unverzüglich an den Kunden weiter.

(3) Mandavo beantwortet solche Anträge nicht eigenständig, sofern Mandavo hierzu nicht vom Kunden angewiesen oder gesetzlich verpflichtet wurde.

(4) Der Kunde stellt Mandavo die für die Bearbeitung erforderlichen Informationen und Weisungen rechtzeitig zur Verfügung.

(5) Ein außergewöhnlicher Unterstützungsaufwand, der nicht auf einen Verstoß von Mandavo zurückzuführen ist, kann nach vorheriger Abstimmung angemessen vergütet werden.

9. Unterstützung bei weiteren Datenschutzpflichten

Mandavo unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen insbesondere bei:

• der Sicherheit der Verarbeitung nach Art. 32 DSGVO,
• der Bewertung und Meldung von Datenschutzverletzungen nach Art. 33 und 34 DSGVO,
• Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO,
• vorherigen Konsultationen nach Art. 36 DSGVO.

Mandavo übernimmt dabei nicht die datenschutzrechtliche Gesamtverantwortung des Kunden.

10. Verletzungen des Schutzes personenbezogener Daten

(1) Mandavo informiert den Kunden unverzüglich, nachdem Mandavo eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die personenbezogene Auftragsdaten des Kunden betrifft.

(2) Die Mitteilung enthält, soweit die Informationen bei der ersten Meldung bereits verfügbar sind:

• eine Beschreibung der Art der Verletzung,
• die betroffenen Datenkategorien,
• die betroffenen Personengruppen,
• die ungefähre Zahl betroffener Personen und Datensätze, soweit bekannt,
• die wahrscheinlichen Folgen der Verletzung,
• die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen,
• eine Kontaktmöglichkeit für Rückfragen.

(3) Liegen bei der ersten Meldung noch nicht alle Informationen vor, stellt Mandavo weitere Erkenntnisse schrittweise und ohne unangemessene Verzögerung zur Verfügung.

(4) Mandavo dokumentiert Datenschutzverletzungen im gesetzlich erforderlichen Umfang und unterstützt den Kunden bei der Erfüllung seiner Melde- und Benachrichtigungspflichten.

(5) Die Entscheidung, ob eine Meldung an eine Aufsichtsbehörde oder eine Benachrichtigung betroffener Personen erforderlich ist, obliegt dem Kunden, soweit Mandavo nicht selbst gesetzlich zur Meldung verpflichtet ist.

11. Unterauftragsverarbeiter

11.1 Allgemeine Genehmigung

(1) Der Kunde erteilt Mandavo die allgemeine Genehmigung, die in Anlage 3 aufgeführten Unterauftragsverarbeiter einzusetzen.

(2) Mandavo wählt Unterauftragsverarbeiter sorgfältig aus und verpflichtet sie vertraglich zu Datenschutzpflichten, die den für Mandavo geltenden Pflichten aus diesem Vertrag im Wesentlichen entsprechen.

(3) Mandavo bleibt gegenüber dem Kunden für die Erfüllung der Datenschutzpflichten der eingesetzten Unterauftragsverarbeiter verantwortlich.

11.2 Änderungen

(1) Mandavo informiert den Kunden mindestens 30 Tage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters.

(2) Der Kunde kann der Änderung innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen.

(3) Der Widerspruch muss die konkreten datenschutzrechtlichen Gründe benennen.

(4) Die Parteien bemühen sich, eine zumutbare Lösung zu finden. Ist dies nicht möglich, kann Mandavo die betroffene Leistung einstellen oder der Kunde den hiervon betroffenen Auftrag außerordentlich kündigen.

(5) Änderungen, die kurzfristig erforderlich sind, um eine konkrete Sicherheitsgefahr abzuwehren oder einer gesetzlichen Verpflichtung nachzukommen, können ohne vorherige Frist vorgenommen werden. Mandavo informiert den Kunden in diesem Fall unverzüglich nachträglich.

12. Drittlandübermittlungen

(1) Mandavo verarbeitet personenbezogene Auftragsdaten grundsätzlich in Deutschland oder innerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums.

(2) Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.

(3) Beim Versand transaktionaler E-Mails über Postmark kann eine Verarbeitung in den USA erfolgen.

(4) AC PM, LLC nimmt am EU-US Data Privacy Framework teil. Soweit dessen Voraussetzungen erfüllt sind, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses nach Art. 45 DSGVO.

(5) Ergänzend enthält der mit AC PM, LLC geltende Auftragsverarbeitungsvertrag die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 DSGVO.

(6) CAD-Dateien und Lieferpakete werden nicht als E-Mail-Anhänge über Postmark übertragen.

13. Rückgabe und Löschung

(1) Nach Abschluss der Verarbeitung löscht Mandavo personenbezogene Auftragsdaten oder stellt sie dem Kunden zur Rückgabe beziehungsweise zum Download bereit.

(2) Der Kunde kann während der vereinbarten Aufbewahrungsfrist die bereitgestellten Arbeitsergebnisse herunterladen.

(3) Sofern der Kunde keine abweichende Weisung erteilt, löscht Mandavo die produktiven Auftragsdateien standardmäßig 30 Tage nach der abschließenden Auslieferung.

(4) Der Kunde kann eine frühere Löschung der Produktionsdateien verlangen. Mandavo kann vor der Ausführung die Berechtigung der anweisenden Person überprüfen.

(5) Daten auf dem lokalen Render-System werden spätestens 72 Stunden nach Abschluss des jeweiligen lokalen Verarbeitungsvorgangs gelöscht.

(6) Nach der Löschung aus den produktiven Systemen können Daten für höchstens weitere 30 Tage in Sicherungskopien enthalten sein. Sie werden dort nicht für den normalen Geschäftsbetrieb verwendet.

(7) Muss eine Sicherungskopie nach einer technischen Störung wiederhergestellt werden, werden zwischenzeitlich ausgeführte Löschungen erneut nachvollzogen.

(8) Gesetzliche Aufbewahrungspflichten bleiben unberührt. Soweit Mandavo Daten aufgrund eigener gesetzlicher Pflichten aufbewahrt, verarbeitet Mandavo diese Daten nicht mehr im Auftrag des Kunden, sondern in eigener Verantwortlichkeit und ausschließlich für den jeweiligen gesetzlichen Zweck.

(9) Mandavo bestätigt die Ausführung einer kundenseitig angewiesenen Löschung auf Anfrage in Textform.

(10) Ergänzend gelten die Regelungen unter:

https://www.mandavotech.com/legal/retention

14. Nachweise und Kontrollrechte

(1) Mandavo stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung dieses Vertrags und der Pflichten aus Art. 28 DSGVO nachzuweisen.

(2) Der Nachweis erfolgt vorrangig durch:

• die Beschreibung der technischen und organisatorischen Maßnahmen,
• Sicherheits- und Prozessdokumentationen,
• relevante Zertifikate oder Prüfberichte eingesetzter Dienstleister,
• Auskünfte und schriftliche Nachweise.

(3) Reichen diese Unterlagen für einen angemessenen Nachweis nicht aus, kann der Kunde selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer eine Kontrolle durchführen.

(4) Kontrollen sind grundsätzlich mindestens 14 Tage vorher anzukündigen, während der üblichen Geschäftszeiten durchzuführen und auf den erforderlichen Umfang zu beschränken.

(5) Kontrollen dürfen den Geschäftsbetrieb von Mandavo nicht unangemessen beeinträchtigen und keinen Zugriff auf Daten anderer Kunden, Geschäftsgeheimnisse oder sicherheitskritische Informationen ermöglichen.

(6) Ohne konkreten Anlass ist eine Kontrolle grundsätzlich auf einmal pro Kalenderjahr beschränkt. Anlassbezogene Kontrollen, behördliche Prüfungen und Kontrollen nach einem relevanten Sicherheitsvorfall bleiben unberührt.

(7) Der Kunde trägt die angemessenen Kosten einer von ihm veranlassten Kontrolle, sofern die Kontrolle keinen wesentlichen Verstoß von Mandavo gegen diesen Vertrag feststellt.

15. Elektronischer Abschluss und Nachweis

(1) Dieser Vertrag wird gemäß Art. 28 Abs. 9 DSGVO in elektronischer Form geschlossen.

(2) Bei der Annahme werden insbesondere folgende Informationen dokumentiert:

• Name und Kennung der Kundenorganisation,
• Name und Benutzerkennung der annehmenden Person,
• geschäftliche E-Mail-Adresse,
• Datum und Uhrzeit der Annahme,
• Fassung und Referenz dieses Vertrags,
• technische Prüfsumme der angenommenen Vertragsfassung,
• zugehöriger Hauptvertrag beziehungsweise Kundenaccount.

(3) Mandavo stellt dem Kunden die angenommene Vertragsfassung dauerhaft abrufbar oder als herunterladbare Kopie zur Verfügung.

(4) Der Kunde ist verpflichtet, Mandavo Änderungen seiner Organisation oder Vertretungsberechtigung mitzuteilen, soweit sie für diesen Vertrag relevant sind.

16. Haftung

(1) Die Haftung der Parteien richtet sich nach Art. 82 DSGVO, den sonstigen gesetzlichen Vorschriften und den wirksam vereinbarten Haftungsregelungen des Hauptvertrags.

(2) Keine Bestimmung dieses Vertrags beschränkt zwingende Ansprüche betroffener Personen oder Befugnisse von Datenschutzaufsichtsbehörden.

17. Vertragsverletzungen und Beendigung

(1) Bei einem schwerwiegenden Verstoß gegen diesen Vertrag kann der Kunde Mandavo anweisen, die Verarbeitung der betroffenen personenbezogenen Daten bis zur Behebung des Verstoßes auszusetzen.

(2) Wird ein wesentlicher Verstoß nicht innerhalb einer angemessenen Frist behoben, kann der Kunde den von der Verarbeitung betroffenen Auftrag außerordentlich kündigen.

(3) Mandavo kann die Verarbeitung aussetzen, wenn der Kunde eine rechtswidrige Weisung trotz Hinweises aufrechterhält.

(4) Pflichten zur Vertraulichkeit, Löschung, Rückgabe und Nachweisführung gelten nach Beendigung fort, soweit dies nach ihrem Zweck erforderlich ist.

18. Rangfolge und Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag hat dieser Auftragsverarbeitungsvertrag hinsichtlich der Verarbeitung personenbezogener Auftragsdaten Vorrang.

(2) Individuell zwischen den Parteien vereinbarte Datenschutzregelungen haben Vorrang vor dieser allgemeinen Fassung.

(3) Änderungen dieses Vertrags bedürfen der Textform oder einer dokumentierten elektronischen Annahme im Kundenportal.

(4) Änderungen gelten nicht rückwirkend. Wesentliche Änderungen werden dem Kunden mitgeteilt und müssen erneut angenommen werden, soweit dies für ihre Wirksamkeit erforderlich ist.

(5) Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gelten anstelle der unwirksamen Bestimmung die gesetzlichen Vorschriften.

(6) Es gilt deutsches Recht.

Anlage 1 – Beschreibung der Auftragsverarbeitung

1. Gegenstand

Erstellung und Auslieferung von Produktbildern aus vom Kunden bereitgestellten CAD-, Meta- und Referenzdaten.

2. Dauer

Für die Dauer des jeweiligen Auftrags und der vereinbarten Aufbewahrungsfrist. Standardmäßig werden produktive Auftragsdateien 30 Tage nach abschließender Auslieferung gelöscht.

3. Zweck

• Erstellung von Produktbildern,
• technische Aufbereitung und Konvertierung,
• Zuordnung zu Artikeln und Metadaten,
• Qualitätssicherung und Korrektur,
• Bereitstellung und Auslieferung,
• auftragsgemäße Löschung.

4. Art der Verarbeitung

Upload, Speicherung, Auslesen, Konvertierung, Übertragung, Rendering, Verknüpfung, Bereitstellung, Sicherung und Löschung.

5. Betroffene Personen

Beschäftigte, Ansprechpartner, Lieferanten, Geschäftspartner sowie sonstige Personen, deren Daten der Kunde in Auftragsdateien einbringt.

6. Datenkategorien

Namen, Kontaktdaten, Kennungen, Projekt- und Referenzdaten, Datei- und Metadaten, Kommentare, Abbildungen sowie sonstige vom Kunden bereitgestellte personenbezogene Daten.

7. Besondere Datenkategorien

Nicht vorgesehen. Eine Verarbeitung ist nur nach vorheriger ausdrücklicher Vereinbarung zulässig.

Anlage 2 – Technische und organisatorische Maßnahmen

1. Zutrittskontrolle

• Betrieb der zentralen Infrastruktur in kontrollierten Rechenzentren beauftragter Hostinganbieter,
• Beschränkung des physischen Zugangs zum lokalen Render-System auf berechtigte Personen,
• angemessene Sicherung der Räumlichkeiten und Geräte.

2. Zugangs- und Authentifizierungskontrolle

• individuelle Benutzerkonten,
• Zugang zum Kundenportal grundsätzlich nur auf Einladung,
• zeitlich begrenzte Einmal-Login-Links,
• begrenzte Sitzungsdauer,
• Schutz administrativer Zugänge,
• Sperrung oder Entzug nicht mehr benötigter Zugänge.

3. Zugriffskontrolle

• rollen- und organisationsbezogene Berechtigungen,
• strikte Mandantentrennung zwischen Kundenorganisationen,
• Zugriff auf Auftragsdaten nur für erforderliche Bearbeitungs- und Administrationszwecke,
• regelmäßige Überprüfung administrativer Berechtigungen.

4. Übertragungs- und Weitergabekontrolle

• TLS-verschlüsselte Datenübertragung,
• zeitlich begrenzte und signierte Upload- und Download-URLs,
• gehashte oder anderweitig gegen Klartextzugriff geschützte Download-Tokens,
• keine Übertragung von CAD-Dateien als gewöhnliche E-Mail-Anhänge,
• protokollierte Übertragung an das kontrollierte Render-System.

5. Eingabe- und Nachvollziehbarkeitskontrolle

• Protokollierung sicherheits- und auftragsrelevanter Aktionen,
• Dokumentation von Freigaben und rechtlichen Bestätigungen,
• Protokollierung von Downloads und Löschvorgängen,
• nachvollziehbare Versions- und Zeitstempel.

6. Trennungskontrolle

• logische Trennung unterschiedlicher Kundenorganisationen,
• Zuordnung von Datenbankeinträgen und Speicherobjekten zu einer Organisation und einem Auftrag,
• getrennte Berechtigungsprüfung für jeden Zugriff.

7. Verfügbarkeits- und Belastbarkeitskontrolle

• regelmäßige Sicherung betriebsnotwendiger Daten,
• rollierende Backup-Rotation,
• Wiederherstellungs- und Notfallprozesse,
• Überwachung wesentlicher Systemfunktionen,
• Installation sicherheitsrelevanter Aktualisierungen.

8. Löschkontrolle

• automatisierte Löschfristen für Auftragsdateien,
• Löschung unvollständiger und verwaister Uploads,
• zeitnahe Löschung temporärer Render-Dateien,
• Ungültigmachung von Download-Tokens,
• dokumentierte Löschnachweise,
• erneute Anwendung von Löschungen nach einer Wiederherstellung aus Backups.

9. Sicherheitsmanagement

• regelmäßige Überprüfung der technischen und organisatorischen Maßnahmen,
• Anpassung bei wesentlichen technischen oder organisatorischen Änderungen,
• Verfahren zur Erkennung, Bewertung und Behandlung von Sicherheitsvorfällen,
• Datenminimierung bei Protokollen und Transaktions-E-Mails.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

1. Hetzner Online GmbH

Anschrift: Industriestraße 25, 91710 Gunzenhausen, Deutschland
Leistung: Server-Hosting, Datenbank-, Netzwerk-, Backup- und Objektspeicherdienste
Verarbeitungsort: Deutschland beziehungsweise Europäische Union, abhängig von der konkret ausgewählten Infrastruktur
Übermittelte Daten: Portal-, Auftrags-, Datei-, Meta- und Protokolldaten
Rechtsgrundlage: Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

2. AC PM, LLC – Postmark

Anschrift: 1 N Dearborn Street, Suite 500, Chicago, IL 60602, USA
Leistung: Versand transaktionaler E-Mails
Verarbeitungsort: USA sowie Standorte der veröffentlichten Unterauftragsverarbeiter
Übermittelte Daten: E-Mail-Adresse, Name, Betreff, Nachrichteninhalt, Versand- und Zustelldaten; keine CAD-Dateien oder Lieferpakete als Anhänge
Transfergrundlage: EU-US Data Privacy Framework nach Art. 45 DSGVO, soweit anwendbar; ergänzend Standardvertragsklauseln nach Art. 46 DSGVO
Vertrag: Auftragsverarbeitungsvereinbarung mit AC PM, LLC