Auftragsverarbeitungsvertrag

Version 1.0 — Stand: März 2026

zwischen dem Kunden der Aldric-Plattform (nachfolgend „Verantwortlicher" oder „Auftraggeber") und

CONPORT Services GmbH
Alte Benninghofer Str. 24
44263 Dortmund
Geschäftsführer: Benjamin Schowe
AG Dortmund HRB 34231
(nachfolgend „Auftragsverarbeiter" oder „Auftragnehmer")

— gemeinsam die „Parteien" —

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") ist Bestandteil der Allgemeinen Geschäftsbedingungen (AGB) und wird geschlossen, soweit der Auftragnehmer im Rahmen der Bereitstellung der SaaS-Plattform „Aldric" personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

§ 1 Gegenstand und Dauer der Verarbeitung

1.1 Gegenstand

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der SaaS-Plattform „Aldric" gemäß der Leistungsbeschreibung. Die Verarbeitung umfasst die Speicherung, Organisation, Bereitstellung und Löschung von Daten, die der Verantwortliche über die Plattform erfasst.

1.2 Dauer

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages (AGB § 3). Nach Beendigung des Vertrages werden die Daten gemäß § 8 dieses AVV behandelt.

§ 2 Art und Zweck der Verarbeitung

2.1 Art der Verarbeitung

Die Verarbeitung umfasst folgende Tätigkeiten:

• Erhebung, Erfassung und Speicherung von Daten über die Plattform-Oberfläche und APIs
• Organisation und Strukturierung in mandantenspezifischen Datenbanken
• Bereitstellung und Abruf durch autorisierte Benutzer des Verantwortlichen
• Übermittlung im Rahmen von Exporten (PDF, CSV, JSON) auf Anweisung des Verantwortlichen
• Löschung und Vernichtung gemäß den Löschkonzepten der Plattform oder auf Anweisung
• Sicherung durch automatisierte Backups

2.2 Zweck der Verarbeitung

Zweck der Verarbeitung ist die Bereitstellung der vertraglich vereinbarten Compliance-Management-Funktionen, insbesondere:

• Führung des Verzeichnisses von Verarbeitungstätigkeiten (Art. 30 DSGVO)
• Durchführung von Datenschutz-Folgenabschätzungen (Art. 35 DSGVO)
• Verwaltung von Betroffenenanfragen (Art. 15-22 DSGVO)
• Dokumentation technischer und organisatorischer Maßnahmen
• Verwaltung von Verträgen, Richtlinien und Schulungen
• Risikobewertungen und Audit-Management
• Whistleblower-Meldungen (HinSchG)

§ 3 Art der personenbezogenen Daten und Kategorien betroffener Personen

3.1 Kategorien personenbezogener Daten

Die konkret verarbeiteten Datenkategorien hängen von der Nutzung der Plattform durch den Verantwortlichen ab. Typischerweise werden folgende Kategorien verarbeitet:

• Stammdaten: Name, Vorname, Titel, Position, Abteilung
• Kontaktdaten: E-Mail-Adresse, Telefonnummer, Geschäftsanschrift
• Vertragsdaten: Vertragsgegenstand, Laufzeiten, Zuständigkeiten
• Nutzungsdaten: Anmeldezeitpunkte, Zugriffshistorie, Audit-Trail
• Kommunikationsdaten: Kommentare, Notizen, E-Mail-Korrespondenz im System
• Risikobewertungsdaten: Risikoeinschätzungen, Maßnahmen, Verantwortlichkeiten
• Meldedaten: Whistleblower-Meldungen (ggf. anonymisiert), Sachverhalte, Bearbeitungsstand

3.2 Kategorien betroffener Personen

• Mitarbeiter und Beauftragte des Verantwortlichen (Benutzer der Plattform)
• Ansprechpartner bei Vertragspartnern und Dienstleistern des Verantwortlichen
• Betroffene Personen, deren Daten in Verarbeitungstätigkeiten dokumentiert werden
• Hinweisgeber und von Meldungen betroffene Personen (Whistleblowing-Modul)
• Schulungsteilnehmer

§ 4 Pflichten des Auftragsverarbeiters

4.1 Weisungsgebundenheit

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Weisungen können schriftlich, in Textform oder über die Konfiguration der Plattform erteilt werden.

Der Auftragnehmer informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 S. 3 DSGVO). Der Auftragnehmer ist berechtigt, die Ausführung einer solchen Weisung bis zur Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

4.2 Vertraulichkeit

Der Auftragnehmer gewährleistet, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

4.3 Sicherheit der Verarbeitung

Der Auftragnehmer trifft die erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die aktuellen Maßnahmen sind in Anlage 1 (TOM) beschrieben.

4.4 Unterstützungspflichten

Der Auftragnehmer unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung:

• Bei der Beantwortung von Anträgen betroffener Personen (Art. 15-22 DSGVO) — die Plattform bietet hierzu ein DSAR-Modul
• Bei der Einhaltung der Pflichten aus Art. 32-36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen)
• Bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) — die Plattform bietet hierzu ein DSFA-Modul

§ 5 Unterauftragsverarbeitung

5.1 Genehmigte Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragnehmer hiermit die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen (Art. 28 Abs. 2 DSGVO). Die zum Zeitpunkt des Vertragsschlusses genehmigten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

5.2 Informationspflicht bei Änderungen

Der Auftragnehmer informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mindestens 30 Tage im Voraus. Der Verantwortliche kann gegen die Änderung innerhalb von 14 Tagen nach Mitteilung Einspruch erheben. Erhebt der Verantwortliche begründeten Einspruch, bemühen sich die Parteien um eine einvernehmliche Lösung. Gelingt dies nicht, hat der Verantwortliche ein Sonderkündigungsrecht zum Zeitpunkt der geplanten Änderung.

5.3 Vertragliche Absicherung

Der Auftragnehmer stellt sicher, dass jedem Unterauftragsverarbeiter die gleichen Datenschutzpflichten auferlegt werden wie in diesem AVV (Art. 28 Abs. 4 DSGVO). Der Auftragnehmer haftet gegenüber dem Verantwortlichen für die Einhaltung der Pflichten durch den Unterauftragsverarbeiter.

§ 6 Rechte der betroffenen Personen

Der Auftragnehmer unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen. Wendet sich eine betroffene Person mit Anträgen gemäß Art. 15-22 DSGVO direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

Die Plattform bietet technische Unterstützung durch:

• DSAR-Modul: Verwaltung von Betroffenenanfragen mit Fristenüberwachung
• Exportfunktionen: Datenauskunft in maschinenlesbarem Format (JSON, CSV)
• Löschfunktionen: Gezielte Löschung einzelner Datensätze
• Audit-Trail: Lückenlose Dokumentation aller Verarbeitungsvorgänge

§ 7 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden (Art. 33 Abs. 2 DSGVO).

Die Meldung enthält mindestens:

• Beschreibung der Art der Verletzung, einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze
• Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle
• Beschreibung der wahrscheinlichen Folgen der Verletzung
• Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung

Die Meldung erfolgt an die vom Verantwortlichen hinterlegte Kontaktadresse. Der Auftragnehmer dokumentiert alle Verletzungen einschließlich aller damit zusammenhängenden Fakten, Auswirkungen und ergriffenen Abhilfemaßnahmen.

§ 8 Rückgabe und Löschung von Daten

Nach Beendigung des Hauptvertrages stellt der Auftragnehmer dem Verantwortlichen sämtliche verarbeiteten personenbezogenen Daten in einem gängigen, maschinenlesbaren Format zur Verfügung (Datenexport).

Der Verantwortliche hat nach Vertragsende 30 Tage Zeit, seine Daten über die Exportfunktionen der Plattform herunterzuladen (AGB § 13). Nach Ablauf dieser Frist löscht der Auftragnehmer sämtliche personenbezogenen Daten des Verantwortlichen unwiderruflich, es sei denn, es bestehen gesetzliche Aufbewahrungspflichten.

Die Löschung wird dem Verantwortlichen auf Anfrage schriftlich bestätigt. Backups werden innerhalb von 90 Tagen nach Vertragsende durch den regulären Backup-Rotationszyklus überschrieben.

§ 9 Nachweispflichten und Kontrollen

9.1 Nachweise

Der Auftragnehmer stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen von diesem beauftragten Prüfer (Art. 28 Abs. 3 lit. h DSGVO).

9.2 Vor-Ort-Audits

Der Verantwortliche kann nach vorheriger Anmeldung mit einer Frist von mindestens 20 Arbeitstagen Vor-Ort-Audits durchführen oder durch einen unabhängigen Prüfer durchführen lassen. Der Auftragnehmer unterstützt diese Audits im angemessenen Umfang. Die Kosten des Audits trägt der Verantwortliche.

9.3 Zertifizierungen

Der Auftragnehmer kann den Nachweis der Einhaltung auch durch Vorlage aktueller Zertifizierungen (z.B. ISO 27001) oder Auditberichte unabhängiger Dritter erbringen.

§ 10 Datenübermittlung in Drittländer

Die Verarbeitung personenbezogener Daten erfolgt grundsätzlich ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums (EU/EWR).

Eine Übermittlung in Drittländer erfolgt nur, soweit:

• ein Angemessenheitsbeschluss der Europäischen Kommission vorliegt (Art. 45 DSGVO), oder
• geeignete Garantien gemäß Art. 46 DSGVO bestehen (insbesondere Standardvertragsklauseln), oder
• der Verantwortliche die Übermittlung ausdrücklich angewiesen hat

Aktueller Stand: Stripe, Inc. (USA) verarbeitet Zahlungsdaten auf Basis des EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10. Juli 2023) sowie zusätzlicher Standardvertragsklauseln.

Anlage 1: Technische und organisatorische Maßnahmen (TOM)

Der Auftragnehmer trifft folgende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zum Schutz personenbezogener Daten:

A1.1 Zutrittskontrolle

• Rechenzentrum des Hosting-Anbieters mit physischer Zugangskontrolle (Zutrittsschleuse, Videoüberwachung, 24/7-Security)
• ISO 27001-zertifiziertes Rechenzentrum innerhalb der EU

A1.2 Zugangskontrolle

• Authentifizierung über Keycloak (OpenID Connect/JWT)
• Unterstützung von Single Sign-On (SSO) und Multi-Faktor-Authentifizierung (MFA)
• Passwort-Richtlinien: Mindestlänge, Komplexitätsanforderungen, Ablauffristen konfigurierbar
• Automatische Sitzungs-Timeouts
• Brute-Force-Schutz mit Rate-Limiting

A1.3 Zugriffskontrolle

• Row-Level Security (RLS): Strenge Mandantentrennung auf Datenbankebene — jeder Mandant sieht ausschließlich seine eigenen Daten
• Rollenbasierte Zugriffskontrolle (RBAC): Feingranulare Berechtigungen auf Modul-, Funktions- und Datensatzebene
• Prinzip der minimalen Berechtigung (Least Privilege)
• Administratorzugriffe nur über gesicherte, protokollierte Verbindungen

A1.4 Trennungskontrolle

• Multi-Tenant-Architektur mit strikter Datentrennung über tenant_id auf allen Tabellen
• Row-Level Security (RLS) auf Datenbankebene erzwingt Mandantentrennung unabhängig von der Anwendungslogik
• Separate Entwicklungs-, Test- und Produktionsumgebungen

A1.5 Pseudonymisierung und Verschlüsselung

• Transportverschlüsselung: TLS 1.2+ für alle Verbindungen
• Verschlüsselung ruhender Daten: AES-256 auf Storage-Ebene
• Datenbankverbindungen über verschlüsselte Kanäle
• Passwort-Hashing mit bcrypt/Argon2

A1.6 Integrität

• Audit-Trail: Lückenlose, revisionssichere Protokollierung aller sicherheitsrelevanten Aktionen
• Hash-Chains: Verkettete Hashes für Manipulationserkennung im Audit-Log
• Input-Validierung auf allen API-Endpunkten (class-validator)
• Prepared Statements und Parameterisierung gegen SQL-Injection

A1.7 Verfügbarkeit und Belastbarkeit

• Automatisierte tägliche Backups mit verschlüsselter Speicherung
• Backup-Aufbewahrung: 30 Tage (täglich), 12 Monate (monatlich)
• Disaster-Recovery-Plan mit definierten RTO/RPO
• Monitoring und Alerting für alle kritischen Systemkomponenten
• Verfügbarkeitsziel: 99,5 % p.a. (gemäß SLA)

A1.8 Wiederherstellbarkeit

• Regelmäßige Tests der Backup-Wiederherstellung
• Dokumentierte Wiederherstellungsprozeduren
• Point-in-Time Recovery für Datenbankdaten

A1.9 Verfahren zur regelmäßigen Überprüfung

• Regelmäßige Überprüfung der TOM auf Wirksamkeit
• Schwachstellenanalysen und Sicherheitsupdates
• Dokumentiertes Incident-Response-Verfahren
• Schulung und Sensibilisierung aller Mitarbeiter

Anlage 2: Genehmigte Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter sind zum Zeitpunkt des Vertragsschlusses genehmigt:

Anlage 3: Weisungsberechtigte und Empfangsberechtigte

Weisungsberechtigte des Verantwortlichen:

Die im Kundenkonto als Administratoren hinterlegten Personen sind berechtigt, Weisungen im Sinne dieses AVV zu erteilen. Weisungen können über die Plattform-Konfiguration, per E-Mail an datenschutz@conport.services oder in Textform erteilt werden.

Empfangsberechtigte des Auftragsverarbeiters:

CONPORT Services GmbH
Datenschutz
E-Mail: datenschutz@conport.services

---

Dieser Auftragsverarbeitungsvertrag tritt mit Abschluss des Hauptvertrages in Kraft und endet automatisch mit dessen Beendigung, unbeschadet der fortgeltenden Pflichten aus § 8 (Löschung) und § 4.2 (Vertraulichkeit).