Auftragsverarbeitungsvertrag
nach Art. 28 Abs. 3 DS-GVO · Security-Awareness-Plattform (MSP-Modell)
[PLZ Ort]
– nachfolgend „Auftraggeber“ –
Peter-Klöckner-Straße 9c
56073 Koblenz
– nachfolgend „Auftragnehmer“ oder „Serancon“ –
Dieser Vertrag ersetzt die Fassung „Stand März 2026“. Änderungen gegenüber der Vorfassung sind im Begleitschreiben zusammengefasst.
Präambel
Der Auftragnehmer stellt dem Auftraggeber eine technische Infrastruktur zur Durchführung von IT-Security-Awareness-Maßnahmen zur Verfügung („Plattform“). Der Auftraggeber bietet diese Leistungen seinen eigenen Kunden („Endkunden“) unter eigenem Namen an (MSP-/White-Label-Modell). Die konkreten Leistungen und die verarbeiteten Datenarten ergeben sich aus Anlage 1.
Für die Beschäftigtendaten der Endkunden gilt eine zweistufige Rollenverteilung: Der jeweilige Endkunde ist Verantwortlicher (Art. 4 Nr. 7 DS-GVO), der Auftraggeber ist dessen Auftragsverarbeiter (Art. 28 DS-GVO) und der Auftragnehmer ist weiterer Auftragsverarbeiter des Auftraggebers (Art. 28 Abs. 4 DS-GVO). Für die eigenen Daten des Auftraggebers (Ansprechpartner, Zugangsdaten, Vertragsdaten) ist der Auftraggeber selbst Verantwortlicher und der Auftragnehmer sein Auftragsverarbeiter. Dieser Vertrag deckt beide Konstellationen ab.
Bucht der Auftraggeber eine Leistung unmittelbar als Verantwortlicher – etwa eine Phishing-Simulation oder Awareness-Maßnahme für seine eigenen Beschäftigten, ohne zwischengeschaltetes Systemhaus –, so ist der Auftraggeber Verantwortlicher (Art. 4 Nr. 7 DS-GVO) und Serancon unmittelbarer Auftragsverarbeiter (Art. 28 DS-GVO). Die Regelungen dieses Vertrages einschließlich seiner Anlagen gelten in diesem Fall entsprechend; Bezugnahmen auf „Endkunden“ oder „Systemhaus“ treten dann hinter das unmittelbare Verhältnis zwischen Auftraggeber und Serancon zurück.
§ 1 Gegenstand, Dauer und Spezifizierung der Auftragsverarbeitung
(1)Gegenstand des Auftrags sowie Art und Zweck der Verarbeitung ergeben sich aus Anlage 1.
(2)Die Vertragslaufzeit beträgt 12 Monate ab Vertragsschluss. Eine automatische Verlängerung findet nicht statt. Eine Fortsetzung bedarf einer ausdrücklichen Vereinbarung beider Parteien in Textform.
(3)Der Auftraggeber kann den Vertrag jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder gegen diesen Vertrag vorliegt.
(4)Die Verarbeitung findet grundsätzlich auf Servern in der Bundesrepublik Deutschland statt. Abweichende Verarbeitungsorte und etwaige Drittlandübermittlungen einzelner Hilfsfunktionen ergeben sich aus Anlage 4 (§ 8).
§ 2 Anwendungsbereich und Verantwortlichkeit
(1)Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und der Datenweitergabe an den Auftragnehmer verantwortlich; soweit er selbst als Auftragsverarbeiter seiner Endkunden handelt, stellt er sicher, dass die Weisungen seiner Endkunden eingehalten werden und dass die Endkunden der Einschaltung des Auftragnehmers als weiterem Auftragsverarbeiter zugestimmt haben.
(2)Die Weisungen werden durch diesen Vertrag und seine Anlagen festgelegt. Einzelweisungen erteilt der Auftraggeber in Textform (z. B. E-Mail) ausschließlich über das in der Anmeldung hinterlegte Postfach des Auftraggebers. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Weisungen, die über den Vertrag hinausgehen, gelten als Antrag auf Leistungsänderung.
(3)Der Auftragnehmer nimmt Weisungen, Anfragen und Meldungen, die Endkunden oder Beschäftigte der Endkunden betreffen, nur vom Auftraggeber entgegen und richtet Antworten nur an den Auftraggeber. Eine direkte Kommunikation des Auftragnehmers mit Endkunden oder deren Beschäftigten findet nicht statt.
§ 3 Pflichten des Auftragnehmers
(1)Der Auftragnehmer verarbeitet personenbezogene Daten nur im Rahmen des Auftrags und der Weisungen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DS-GVO); in diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
(2)Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen anwendbares Recht verstößt, und darf die Ausführung aussetzen, bis die Weisung bestätigt oder geändert wurde.
(3)Der Auftragnehmer trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DS-GVO). Die Maßnahmen unterliegen dem technischen Fortschritt; der Auftragnehmer darf gleichwertige Maßnahmen einsetzen, ohne das Schutzniveau zu unterschreiten. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber auf Anfrage mitgeteilt.
(4)Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Rechte betroffener Personen (Kapitel III DS-GVO) nach dem Verfahren in Anlage 3 sowie bei den Pflichten aus Art. 32 bis 36 DS-GVO, insbesondere bei einer Datenschutz-Folgenabschätzung des Auftraggebers oder seiner Endkunden, indem er die Anlage 2 und auf Anfrage weitere technische Beschreibungen bereitstellt.
(5)Der Auftragnehmer gewährleistet, dass die mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet sind und Daten nicht außerhalb der Weisung verarbeiten; die Verpflichtung besteht nach Beendigung des Auftrags fort. Derzeit hat allein der Inhaber Systemzugriff (Anlage 2, Abschnitt 1).
(6)Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 24 Stunden nach Kenntnis, an das hinterlegte Postfach des Auftraggebers. Die Meldung enthält mindestens: Beschreibung des Vorfalls, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, Ansprechpartner, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen. Der Auftragnehmer ergänzt die Meldung, sobald weitere Erkenntnisse vorliegen. Die Meldung an die Aufsichtsbehörde (Art. 33) und an betroffene Personen (Art. 34) obliegt dem jeweiligen Verantwortlichen.
(7)Kontakt für Datenschutzfragen: Michael Kraus, info@serancon.de.
(8)Der Auftragnehmer überprüft die Wirksamkeit seiner Maßnahmen regelmäßig (Art. 32 Abs. 1 lit. d DS-GVO), insbesondere durch automatisierte Testläufe vor jeder Änderung der Plattform, laufendes Monitoring und eine jährliche Durchsicht der Anlage 2.
(9)Löschung erfolgt nach dem Löschkonzept in Anlage 2, Abschnitt 5: automatisch nach Ablauf der dort genannten Fristen, auf Weisung des Auftraggebers im Einzelfall (Anlage 3) und vollständig bei Vertragsende. Bei Vertragsende sichert der Auftragnehmer die Umgebung des Auftraggebers zunächst, entfernt dann alle Systeme (Datenbank, Dienst, Dateien, Domain, Zertifikat) und löscht die Sicherung nach 365 Tagen. Innerhalb dieser Frist kann der Auftraggeber die Herausgabe seiner Daten in einem gängigen Format verlangen; danach ist eine Herausgabe nicht mehr möglich.
§ 4 Pflichten des Auftraggebers
(1)Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er in den Auftragsergebnissen Fehler oder Unregelmäßigkeiten feststellt.
(2)Der Auftraggeber schließt mit jedem Endkunden, für den er die Plattform einsetzt, einen Auftragsverarbeitungsvertrag nach Art. 28 DS-GVO und benennt darin den Auftragnehmer als weiteren Auftragsverarbeiter mit den Angaben aus Anlage 4. Er legt dem Endkunden diese Anlage 2 als Beschreibung der Schutzmaßnahmen vor.
(3)Der Auftraggeber stellt sicher, dass beim Endkunden die arbeits- und datenschutzrechtlichen Voraussetzungen für Phishing-Simulationen erfüllt sind, insbesondere die Information der Beschäftigten (Art. 13 DS-GVO), eine Rechtsgrundlage nach Art. 6 Abs. 1 DS-GVO in Verbindung mit § 26 BDSG und, soweit ein Betriebsrat besteht, dessen Beteiligung (§ 87 Abs. 1 Nr. 6 BetrVG). Der Auftragnehmer prüft dies nicht und darf sich auf die Bestätigung des Auftraggebers verlassen.
(4)Der Auftraggeber übermittelt Beschäftigtenlisten nur über die dafür vorgesehene Buchungsstrecke der Plattform und beschränkt sie auf die dort vorgesehenen Angaben (E-Mail-Adresse, Vor- und Nachname, Anrede). Weitergehende Angaben zu Beschäftigten werden nicht erhoben.
(5)Die Kommunikation mit Endkunden (Bestätigungen, Buchungsbestätigungen, Benachrichtigungen, Berichte) erfolgt ausschließlich über ein eigenes E-Mail-Postfach des Auftraggebers, dessen Zugangsdaten er bei der Anmeldung hinterlegt. Der Auftraggeber hält diese Zugangsdaten aktuell und schützt sie; ein Postfach des Auftragnehmers wird hierfür nicht verwendet. Berichte, die der Auftragnehmer erstellt, gibt der Auftraggeber selbst an den Endkunden weiter.
(6)Der Auftraggeber schützt seine Zugangsdaten zur Plattform (Admin-Zugang des Portals) und meldet einen Verdacht auf Missbrauch unverzüglich.
(7)Der Auftraggeber ist für die inhaltliche Gestaltung seines Portals (Impressum, Datenschutzerklärung, Logo, Texte) und für die Rechtmäßigkeit der dort veröffentlichten Angaben verantwortlich.
§ 5 Anfragen betroffener Personen
(1)Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, verweist dieser sie an den Auftraggeber bzw. den jeweiligen Verantwortlichen und leitet die Anfrage an den Auftraggeber weiter, ohne sie inhaltlich zu beantworten.
(2)Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit (Art. 15 bis 21 DS-GVO) führt der Auftragnehmer auf Weisung des Auftraggebers nach dem Verfahren in Anlage 3 aus. Der Auftragnehmer liefert innerhalb von fünf Werktagen nach Eingang einer vollständigen Weisung, damit der Verantwortliche seine Monatsfrist (Art. 12 Abs. 3 DS-GVO) einhalten kann.
§ 6 Nachweismöglichkeiten und Kontrollrechte
(1)Der Auftragnehmer weist die Einhaltung seiner Pflichten mit geeigneten Mitteln nach, insbesondere durch die Anlage 2, die Protokolle der automatisierten Löschläufe, die Ergebnisse der automatisierten Testläufe und Selbstauskünfte.
(2)Der Auftraggeber kann die Einhaltung durch Prüfungen vor Ort oder per Fernzugriff auf Dokumente kontrollieren, höchstens einmal je Kalenderjahr; anlassbezogene Prüfungen bei konkretem Verdacht bleiben unberührt. Prüfungen sind mit mindestens 14 Tagen Vorlauf anzukündigen und während der üblichen Geschäftszeiten ohne Störung des Betriebs durchzuführen.
(3)Jede Partei trägt die ihr entstehenden Prüfungskosten selbst.
§ 7 Weitere Auftragsverarbeiter (Subunternehmer)
(1)Der Auftragnehmer setzt weitere Auftragsverarbeiter nur mit Zustimmung des Auftraggebers ein. Die in Anlage 4 genannten Unternehmen gelten mit Vertragsschluss als genehmigt.
(2)Vor Hinzuziehung oder Austausch eines weiteren Auftragsverarbeiters informiert der Auftragnehmer den Auftraggeber mindestens vier Wochen im Voraus in Textform. Der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen; bei berechtigtem Widerspruch steht ihm ein Sonderkündigungsrecht zu.
(3)Der Auftragnehmer verpflichtet weitere Auftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags.
(4)Der Auftragnehmer beabsichtigt, zu einem späteren Zeitpunkt eine Bot-Abwehr (Cloudflare Turnstile) in den Portalen der Auftraggeber zu aktivieren. Diese Aktivierung gilt als Hinzuziehung eines weiteren Auftragsverarbeiters nach Absatz 2 und wird vorher angekündigt.
§ 8 Übermittlung in Drittstaaten
(1)Die Verarbeitung erfolgt grundsätzlich in Deutschland. Abweichende Verarbeitungsorte und Drittlandübermittlungen ergeben sich aus Anlage 4; sie werden nur unter Einhaltung der Art. 44 ff. DS-GVO (insbesondere auf Grundlage der EU-Standardvertragsklauseln) vorgenommen.
(2)Für über Anlage 4 hinausgehende, bislang nicht vereinbarte Drittlandübermittlungen holt der Auftragnehmer vorher die Zustimmung des Auftraggebers in Textform ein und stellt die Einhaltung der Art. 44 ff. DS-GVO sicher.
§ 9 Haftung
Auftraggeber und Auftragnehmer haften gegenüber betroffenen Personen nach Art. 82 DS-GVO. Im Innenverhältnis haftet jede Partei für Schäden, die sie durch eine Verletzung ihrer Pflichten aus diesem Vertrag verursacht hat.
§ 10 Informationspflichten, Schriftform, Rechtswahl
(1)Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung, Beschlagnahme, Insolvenz- oder Vergleichsverfahren oder durch sonstige Maßnahmen Dritter gefährdet werden, informiert der Auftragnehmer den Auftraggeber unverzüglich.
(2)Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform und des ausdrücklichen Hinweises, dass es sich um eine Änderung handelt. Die Anlagen 2 und 4 kann der Auftragnehmer nach § 3 Abs. 3 und § 7 fortschreiben.
(3)Bei Widersprüchen gehen die Regelungen dieses Vertrags den Regelungen anderer Verträge zwischen den Parteien vor.
(4)Es gilt deutsches Recht.
Anlage 1 – Beschreibung der Verarbeitungstätigkeiten
1. Gegenstand der Auftragsverarbeitung
Der Auftragnehmer stellt dem Auftraggeber eine abgetrennte Umgebung der Plattform bereit („Mandant“). Sie umfasst:
- Mandanten-Portal mit Buchungsstrecke unter einer Domain des Auftraggebers und in dessen Erscheinungsbild: Endkunden fragen Kampagnen an, bestätigen per Double-Opt-In (Link und Code) und übermitteln die Beschäftigtenliste.
- Management-System des Auftragnehmers zur Übernahme von Buchungen, Verwaltung von Endkunden und Kampagnen.
- Versand simulierter Phishing-E-Mails aus einem zentralen Pool glaubwürdiger Absenderadressen des Auftragnehmers.
- Erfassung von Interaktionen (Öffnen, Klick) über pseudonyme Kennungen.
- Auswertungen und Berichte je Kampagne (pseudonym, Kennziffern).
- Security-Awareness-Quiz; Schwachstellenanalyse externer Systeme; Security-Awareness-Schulungen (E-Learning, in Vorbereitung).
2. Art und Zweck der Verarbeitung
Art: Erhebung und Speicherung von Kontakt- und Beschäftigtendaten; Versand von E-Mails (Bestätigungen, Benachrichtigungen, simulierte Phishing-Mails, Testzustellungen); Protokollierung von Öffnungen und Klicks; statistische Auswertung; Löschung nach dem Löschkonzept oder auf Weisung.
Zweck: Schulung und Sensibilisierung von Beschäftigten der Endkunden im Umgang mit Phishing und IT-Sicherheitsrisiken durch realitätsnahe Simulationen, Wissenstests und Schulungen; Abwicklung der Buchung und des Vertragsverhältnisses.
3. Kategorien personenbezogener Daten
| Gruppe | Daten | Hinweis |
|---|---|---|
| Beschäftigte der Endkunden | Geschäftliche E-Mail-Adresse, Vor- und Nachname, Anrede/Anzeigename | Keine weiteren Merkmale (Abteilung, Position, Anmeldenamen werden nicht mehr erhoben). |
| Interaktionsdaten der Simulation | Zeitpunkt von Versand, Öffnung und Klick; IP-Adresse, Browserkennung und Sprache beim Klick; pseudonyme Kennung (Token) | Auswertung und Bericht nur über die pseudonyme Kennung; IP/Browser werden nach 365 Tagen entfernt. |
| Ansprechpartner der Endkunden | Name, Firma, Telefon, Anschrift, E-Mail-Adresse, Angaben zur Buchung (Produkt, Preis, Laufzeit, Anmerkungen), Nachweis der Bestätigung (Zeitpunkt, IP-Adresse, Browser, Textfassung der Beauftragung) | Buchungsstrecke; die eingereichte Beschäftigtenliste wird mit der Buchung gespeichert. |
| Ansprechpartner des Auftraggebers | Name, Firma, Telefon, E-Mail-Adresse, Domain- und Portalangaben, Zugangsdaten des Postfachs des Auftraggebers (verschlüsselt gespeichert, zur Einrichtung entschlüsselt in die abgeschottete Mandantenkonfiguration übernommen), Nachweis der Anmeldung | Anmeldestrecke und Vertragsverwaltung. |
| Nachweisdaten | Pseudonyme Prüfsummen (Hash) von E-Mail-Adressen und Domains abgewiesener Anmeldungen und ausgeübter Betroffenenrechte | Kein Klartext; dient der Missbrauchsabwehr und dem Nachweis. |
| Quiz / Schulung | Pseudonyme Kennung, optional Name, Zeitpunkte, Ergebnisse bzw. Fortschritt | Nur bei Nutzung dieser Module. |
4. Kategorien betroffener Personen
- Beschäftigte der Endkunden des Auftraggebers (Empfänger der Simulation).
- Ansprechpartner und Verantwortliche der Endkunden (Buchung, Bestätigung).
- Ansprechpartner des Auftraggebers (Anmeldung, Vertrag, Portalverwaltung).
5. Dauer der Verarbeitung
Die Daten werden für die Dauer des Vertrags verarbeitet und nach dem Löschkonzept in Anlage 2, Abschnitt 5 gelöscht oder anonymisiert. Mit Vertragsende wird die gesamte Mandantenumgebung entfernt (§ 3 Abs. 9).
Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DS-GVO) und Löschkonzept
Stand: Oktober 2026. Die Maßnahmen gelten für die Plattform des Auftragnehmers mit allen Mandantenumgebungen. Sie sind im Code, in der Datenbank und in der Serverkonfiguration nachprüfbar; der Auftragnehmer hält eine interne, technisch detaillierte Fassung vor und stellt sie bei Prüfungen nach § 6 zur Verfügung.
1. Vertraulichkeit
Zutritts- und Zugangskontrolle
- Hosting in einem Rechenzentrum in Deutschland (Anlage 4); physischer Zutritt durch den Rechenzentrumsbetreiber geregelt.
- Serverzugang ausschließlich per SSH-Schlüssel, kein Passwort-Login; administrative Rechte nur über den Inhaber. Auftraggeber und Endkunden haben keinen Zugriff auf Server, Dateien oder Datenbanken.
- Portal-Verwaltung des Auftraggebers: Anmeldung mit Passwort (nur als Hash gespeichert) unter einer zufälligen Adresse, Sitzung 8 Stunden, Begrenzung der Anmeldeversuche (5 pro Minute, 20 pro Stunde), Cookies nur verschlüsselt und nicht per Skript lesbar.
- Management-System des Auftragnehmers: Anmeldung mit Begrenzung der Versuche, serverseitige Sitzungen, durchgehender Schutz gegen Cross-Site-Request-Forgery.
- Alle Anwendungsdienste sind nur lokal erreichbar; nach außen nur über den Webserver mit TLS.
Zugriffskontrolle (Rechtekonzept)
- Eine eigene Datenbank je Auftraggeber mit eigener Datenbankrolle; diese Rolle hat keinen Zugriff auf die zentrale Datenbank oder auf Datenbanken anderer Auftraggeber (technisch geprüft).
- Der Absender-Pool für simulierte Phishing-Mails ist für Mandantenumgebungen nur lesend und ohne Zugangsdaten sichtbar.
- Die Anmeldestrecke schreibt nur in die Anmeldetabelle und liest nur die für die Dublettenprüfung nötigen Felder.
- Der Kontext „welcher Auftraggeber“ liegt im Management-System ausschließlich in der Sitzung und wird bei jedem Datenbankzugriff geprüft; ein stiller Rückfall in andere Daten ist ausgeschlossen.
- Je Mandantenumgebung ein eigener Systembenutzer, eigener Dienst mit gehärteter Dienstkonfiguration (nur lesbarer Programmcode, Schreibrecht nur auf Protokoll- und Laufzeitverzeichnis, kein Zugriff auf andere Verzeichnisse). Konfigurationsdatei mit Zugangsdaten nur für diesen Dienst lesbar.
Trennungskontrolle
- Drei strikt getrennte Datenbestände: Direktkunden des Auftragnehmers, Auftraggeber (Systemhäuser) und je Auftraggeber dessen Endkunden mit Beschäftigten. Zwischen den Datenbanken bestehen keine Verknüpfungen.
- Pseudonyme Kennungen tragen eine Mandantenkennung und werden nur in die zugehörige Datenbank geleitet; unbekannte Kennungen liefern eine neutrale Antwort, Abrufe sind begrenzt.
- Kurznamen der Mandantenumgebungen werden automatisch vergeben und gegen alle Systembestandteile auf Eindeutigkeit geprüft.
- Isolation durch vollständigen Testdurchlauf belegt (zentrale Datenbank nach kompletter Mandantennutzung unverändert).
Pseudonymisierung und Datenminimierung
- Zu Beschäftigten werden nur E-Mail-Adresse, Vor- und Nachname und Anrede gespeichert; weitere Felder wurden aus dem Datenmodell entfernt.
- Auswertungen, Dashboards und Berichte arbeiten mit pseudonymen Kennungen statt Namen; Anzeige in zufälliger Reihenfolge, Berichte zeigen Kürzel. Eine Zuordnung von Interaktionen zu Personen ist in der Anwendung nicht vorgesehen.
- Nachweislisten enthalten ausschließlich gesalzene Prüfsummen, keinen Klartext.
- Protokolle maskieren E-Mail-Adressen, kürzen Bestätigungs-Kennungen und enthalten bei Datenbankfehlern keine Feldinhalte.
Verschlüsselung
- Transportverschlüsselung (TLS) für Portale, Management-System und Interaktionserfassung; HSTS zwei Jahre inklusive Subdomains; Schutz gegen Einbettung in fremde Seiten, MIME-Sniffing und Referrer-Abfluss.
- Zugangsdaten des Absender-Pools und der Anmeldungen sind in der Datenbank verschlüsselt gespeichert (symmetrisch, Schlüssel nur in der Dienstumgebung); bei Ablehnung einer Anmeldung wird das Passwort gelöscht.
- Die Zugangsdaten zum Postfach des Auftraggebers liegen ausschließlich in der abgeschotteten Konfiguration seiner eigenen Mandantenumgebung (nur für den Dienst lesbar); ein Postfach des Auftragnehmers wird dort nicht hinterlegt.
- Sicherungen abgebauter Mandantenumgebungen liegen nur für den Administrator lesbar.
2. Integrität
Weitergabekontrolle und Mailwege
- Kein unverschlüsselter Datentransport; E-Mail-Versand über verschlüsselte Verbindungen.
- Die gesamte Kommunikation zwischen Auftraggeber und Endkunden (Bestätigungen, Buchungsbestätigungen, Benachrichtigungen, Berichte) läuft über das Postfach des Auftraggebers. Der Auftragnehmer versendet keine E-Mails an Endkunden oder deren Beschäftigte, mit Ausnahme der simulierten Phishing-Mails und Testzustellungen aus dem zentralen Absender-Pool (Zweck der Simulation).
- Die Anmeldestrecke lässt als Postfach des Auftraggebers keine Adressen des Auftragnehmers zu, verlangt bei abweichender Absenderdomain eine ausdrückliche Bestätigung und prüft die Anmeldung am Mailserver des Auftraggebers vor dem Speichern.
Eingabekontrolle und Nachweis
- Double-Opt-In für Anmeldung des Auftraggebers und Buchung des Endkunden mit Link und sechsstelligem Code; ein bloßer Linkaufruf löst nichts aus (Schutz gegen Link-Vorscanner), fünf Versuche, Ablauf nach 30 Minuten. Gespeichert werden Zeitpunkt, IP-Adresse, Browser, Methode und die Textfassung der Beauftragung.
- Zustandsändernde Aktionen im Portal (z. B. „Bericht anfordern“) nur über abgesicherte Formulare mit sitzungsgebundenem Schutz-Token.
- Freigabe eines Auftraggebers im Management-System nur mit dokumentiertem Datum des Auftragsverarbeitungsvertrags; Freigebender wird gespeichert.
- Der tägliche Löschlauf protokolliert je Auftraggeber, was gelöscht oder anonymisiert wurde (Rechenschaft, Art. 5 Abs. 2).
- Zugriffsprotokolle der Portale enthalten gekürzte Kennungen; Protokolle rotieren größenbegrenzt (höchstens etwa 100 MB je Portal und Protokollart), Webserver-Protokolle werden nach 14 Tagen gelöscht.
3. Verfügbarkeit und Belastbarkeit
- Tägliche Sicherung aller Datenbanken (jede Mandantendatenbank einzeln) auf dem Server, Aufbewahrung 90 Tage, nur für den Datenbankdienst lesbar; täglich automatische Prüfung jeder Sicherung auf Lesbarkeit und Vollständigkeit.
- Tägliche verschlüsselte Außer-Haus-Sicherung (Datenbanksicherungen, Anwendungen, Konfiguration, Zertifikate; Zugangsdaten zusätzlich separat verschlüsselt) auf einen Speicher der Hetzner Online GmbH im Rechenzentrum Falkenstein, Deutschland. Die Sicherung ist vor dem Transport verschlüsselt, der Schlüssel liegt nur auf dem Server; der Speicheranbieter kann die Inhalte nicht lesen. Aufbewahrung: 7 Tages-, 4 Wochen- und 6 Monatsstände, danach automatische Entfernung.
- Eine vollständige Wiederherstellungsprobe aus der Außer-Haus-Sicherung führt der Auftragnehmer mindestens jährlich durch und dokumentiert sie.
- Vor dem Abbau einer Mandantenumgebung wird zwingend eine Sicherung erstellt; schlägt sie fehl, wird nichts entfernt.
- Begrenzung der Anfragen je Adresse, je IP-Bereich und insgesamt (Notbremse) gegen Massenanfragen; Begrenzung der Interaktionsabrufe gegen Durchprobieren.
- Laufendes Monitoring aller Server mit täglichen Prüfläufen und automatischem Neustart ausgefallener Dienste.
4. Verfahren zur regelmäßigen Überprüfung
- Automatisierte Testsuiten (Management-System, Portal, Mandantenumgebung; zusammen über 750 Prüfungen) decken Rechtetrennung, Double-Opt-In, Löschlauf, Nachweisliste und Dublettenprüfung ab und laufen vor jeder Änderung.
- Regelmäßige Sicherheitsupdates des Betriebssystems; unabhängige Gegenprüfungen von Code und Datenschutz, zuletzt im Oktober 2026, mit nachverfolgten Befunden.
- Jährliche Durchsicht dieser Anlage; Prozess für Datenschutzvorfälle dokumentiert (Meldung an den Auftraggeber binnen 24 Stunden).
- Datenschutzmanagement: alleiniger Systemzugriff durch den Inhaber; Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DS-GVO; Datenschutzbeauftragter nicht bestellt (keine gesetzliche Pflicht).
5. Löschkonzept (Art. 5 Abs. 1 lit. e, Art. 17, Art. 28 Abs. 3 lit. g DS-GVO)
Daten werden so lange gespeichert, wie es für den Zweck erforderlich und rechtlich zulässig ist, und danach automatisch gelöscht oder anonymisiert. Alle Fristen sind Einstellungen der Plattform und können je Auftraggeber angepasst werden. Ein täglicher Lauf setzt das Konzept um und protokolliert das Ergebnis.
| Datenart | Frist | Was geschieht |
|---|---|---|
| IP-Adresse, Browser, Sprache bei Öffnungs- und Klick-Ereignissen | 365 Tage nach dem Ereignis | Felder werden geleert; Ereignis und Zeitpunkt bleiben pseudonym für die Auswertung. |
| Beschäftigte, Kennungen, Ereignisse und Kampagnenzuordnungen eines Endkunden | 365 Tage nach Ende des letzten gebuchten Moduls, sofern keine Kampagne geplant oder aktiv ist | Löschung; Buchungen, Aufträge und Testzustellungen werden von Personendaten befreit; der Endkunde bleibt anonymisiert mit Kennzahlen. |
| Endkunden mit aktivem Modul | keine automatische Löschung | Löschung auf Verlangen (Anlage 3) oder beim Abbau der Mandantenumgebung. |
| Abgelehnte oder nicht weiterverfolgte Anmeldungen von Systemhäusern | 730 Tage | Löschung; vorher pseudonymer Nachweiseintrag. |
| Nachweisliste (nur Prüfsummen) | unbefristet | Pseudonym; berechtigtes Interesse an Missbrauchsabwehr. |
| Sicherung einer abgebauten Mandantenumgebung | 365 Tage | Löschung der Sicherung; bis dahin Herausgabe möglich. |
| Stammdaten, Vertrags- und Freigabedaten des Auftraggebers | gesetzliche Aufbewahrung | Bis zu 10 Jahre (§ 147 AO), danach Löschung. |
| Zugriffs- und Anwendungsprotokolle | größenbegrenzt / 14 Tage (Webserver) | Rotation; keine Beschäftigtendaten in Zugriffsprotokollen. |
| Sicherungen | Server 90 Tage; Außer-Haus bis zu 6 Monate | Gelöschte Daten können in Sicherungen bis zum Ablauf dieser Fristen enthalten bleiben; aus Sicherungen wird nicht vorzeitig gelöscht. Sicherungen werden nur zur Wiederherstellung genutzt. |
Vertragsende: Sicherung der gesamten Mandantenumgebung, danach Entfernung von Datenbank, Rolle, Systembenutzer, Dienst, Verzeichnissen, Domain-Konfiguration und Zertifikat; Löschung der Sicherung nach 365 Tagen.
Anlage 3 – Verfahren für Betroffenenrechte und Berichte
1. Weisungskette
Beschäftigte wenden sich an ihren Arbeitgeber (Endkunde, Verantwortlicher). Der Endkunde beauftragt den Auftraggeber. Der Auftraggeber weist den Auftragnehmer in Textform über sein hinterlegtes Postfach an. Der Auftragnehmer handelt nur auf diese Weisung und antwortet nur an den Auftraggeber. Die Identität der betroffenen Person prüft der Verantwortliche.
2. Inhalt einer Weisung
- Kurzname oder Portaladresse des Auftraggebers, Name des Endkunden.
- E-Mail-Adresse der betroffenen Person.
- Gewünschtes Recht: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch oder Datenübertragbarkeit.
3. Leistung des Auftragnehmers
| Recht | Was der Auftragnehmer liefert |
|---|---|
| Auskunft (Art. 15) | Auszug der gespeicherten Stammdaten der Person, Liste der Buchungen und Kampagnen, in denen sie als Empfängerin geführt ist, Angabe der nur pseudonym vorhandenen Interaktionsdaten (keine Zuordnung zur Person möglich), Speicherdauer, Empfänger. Lieferung als Datei und Textbaustein für die Antwort des Verantwortlichen. |
| Berichtigung (Art. 16) | Änderung der Stammdaten in der Mandantendatenbank. |
| Löschung (Art. 17) | Entfernung der Person aus Beschäftigtenbestand, Kampagnenzuordnungen und der mit der Buchung gespeicherten Beschäftigtenliste; Prüfung von Protokollen und Posteingang; pseudonymer Nachweiseintrag. Pseudonyme Interaktionsdaten ohne Personenbezug bleiben bis zur Kampagnenfrist. Aus Sicherungen wird nicht vorzeitig gelöscht. Läuft gerade ein Versand, wird die Löschung nach dessen Abschluss ausgeführt, damit keine Mails an falsche Personen gehen; der Auftraggeber wird über den Termin informiert. |
| Einschränkung / Widerspruch (Art. 18, 21) | Die Person wird für künftige Kampagnen gesperrt und bleibt ansonsten gespeichert; Aufhebung auf Weisung. |
| Datenübertragbarkeit (Art. 20) | Auszug der Stammdaten in maschinenlesbarem Format (CSV). |
Frist: fünf Werktage nach Eingang der vollständigen Weisung. Nachweis: Vorgangsakte beim Auftragnehmer (ohne Beschäftigtenlisten), Aufbewahrung drei Jahre.
4. Berichte
Der Auftraggeber fordert Berichte zu Kampagnen über sein Portal an. Der Auftragnehmer erstellt den Bericht pseudonym und übergibt ihn an den Auftraggeber. Die Weitergabe an den Endkunden erfolgt ausschließlich durch den Auftraggeber über dessen Postfach.
5. Datenschutzvorfälle
Der Auftragnehmer meldet Vorfälle nach § 3 Abs. 6 an den Auftraggeber. Der Auftraggeber informiert seine betroffenen Endkunden; die Meldung an die Aufsichtsbehörde (72 Stunden) und an betroffene Personen obliegt dem jeweiligen Verantwortlichen. Der Auftragnehmer unterstützt mit allen verfügbaren Informationen.
Anlage 4 – Genehmigte weitere Auftragsverarbeiter
| Unternehmen | Anschrift | Leistung |
|---|---|---|
| dataforest GmbH (Marke Avoro) | Taunusstraße 52, 65830 Kriftel, Deutschland | Server-Hosting und Infrastruktur für das Security-Portal (Anwendungsserver und lokale Datenbank), Rechenzentrum in Deutschland. Auftragsverarbeitungsvertrag liegt vor (Stand 03.10.2026). |
| STRATO GmbH | Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland | Betrieb des E-Mail-Servers (VPS), über den die E-Mails des Portals (Double-Opt-in-Bestätigungen, Auftragsbestätigungen, simulierte Phishing-Mails) versendet werden. Auftragsverarbeitungsvertrag liegt vor; Verarbeitung in der EU, Standort Deutschland. |
| Hetzner Online GmbH | Industriestraße 25, 91710 Gunzenhausen, Deutschland | Speicher für die verschlüsselte Außer-Haus-Sicherung (Storage Box, Rechenzentrum Falkenstein, Deutschland). Inhalte sind vor dem Transport verschlüsselt und für Hetzner nicht lesbar. Auftragsverarbeitungsvertrag mit Hetzner (Version 1.2) liegt vor, abgeschlossen am 28.08.2026; Verarbeitung ausschließlich in der EU, Standort Deutschland. |
| Superlative Enterprises Pty Ltd („Have I Been Pwned“ / Pwned Passwords) | Australien | Passwort-Sicherheitscheck im Portal: Übertragen wird ausschließlich ein 5-stelliges SHA-1-Präfix des bereits im Browser gebildeten Passwort-Hashes (k-Anonymität); weder das Passwort noch die IP-Adresse des Nutzers erreichen den Dienst. Drittland Australien; nur bei Nutzung des Passwort-Checks. |
Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, USA) – Bot-Abwehr „Turnstile“ zur Missbrauchsabwehr: auf dem Portal security.serancon.de aktiv, in den Mandanten-Portalen noch nicht aktiv (§ 7 Abs. 4). Dabei werden u. a. IP-Adresse und Browsersignale verarbeitet; die Übermittlung in die USA erfolgt auf Grundlage des Cloudflare-Datenverarbeitungsnachtrags einschließlich der EU-Standardvertragsklauseln. Einzelheiten in den Datenschutzhinweisen.