Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

Version 1.4, Stand 14. Oktober 2026 (ersetzt Version 1.3 vom 21. September 2026)

Unternio-Kunde? In der App unter Einstellungen → AVV wird dieser Vertrag automatisch mit deinen Firmendaten befüllt; dort kannst du ihn elektronisch bestätigen und mit Nachweis für deine Unterlagen drucken.

Dieser Auftragsverarbeitungsvertrag (im Folgenden „AVV") wird geschlossen zwischen:

Präambel

(1) Der Verantwortliche nutzt die webbasierte Software „unternio" (SaaS) des Auftragsverarbeiters zur Organisation seines Geschäftsbetriebs, insbesondere für Aufgaben- und Fristenverwaltung (Kontrollregister), Vertragsverwaltung (Vertragsregister), Kundenverwaltung (CRM mit Kontakten, Verkaufschancen und Kommunikationshistorie), Telefonvertrieb (Anrufliste, Vertriebs-Pipeline und Gesprächsleitfäden, auf ausdrückliche Entscheidung des Verantwortlichen mit Gesprächsaufzeichnung), Angebots- und Rechnungserstellung (einschließlich E-Rechnung), Online-Terminbuchung (Buchungsseite für Kunden des Verantwortlichen mit Kalender-Abgleich sowie Buchungs- und Erinnerungsmails), Kontaktformular, Projekte und Zeiterfassung, Liquiditätsplanung, interner Team-Chat sowie, soweit genutzt, Personal- und Arbeitszeitverwaltung (Stempeluhr, Abwesenheiten und Urlaubskonten, Arbeitszeit-Prüfbericht).

(2) Im Rahmen der Nutzung werden personenbezogene Daten im Auftrag des Verantwortlichen durch den Auftragsverarbeiter verarbeitet. Diese Verarbeitung erfolgt gemäß der Datenschutz-Grundverordnung (EU) 2016/679 („DSGVO") und den einschlägigen nationalen Datenschutzgesetzen.

(3) Die Parteien sind sich einig, dass der Kunde Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO und die Pik Production GmbH Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist.

(4) Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Er ist Bestandteil des Hauptvertrags (Abo-Vertrag über die Nutzung von unternio) und wird elektronisch geschlossen: Mit Abschluss des Hauptvertrags (Registrierung bzw. Abo-Abschluss) gilt dieser AVV in der jeweils veröffentlichten Fassung als vereinbart, ohne dass es einer Unterschrift bedarf. Auf Wunsch stellen wir eine unterschriebene Fassung in Textform bereit (Anfrage an support@unternio.de).

1. Definitionen

Die verwendeten Begriffe haben die Bedeutung, die ihnen in der DSGVO zugewiesen wird (insbesondere Art. 4 DSGVO: personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter, Verletzung des Schutzes personenbezogener Daten).

2. Gegenstand und Dauer der Verarbeitung

(1) Gegenstand: Bereitstellung und Betrieb der Web-Software unternio gemäß Anlage 1.

(2) Dauer: Die Dauer dieses AVV richtet sich nach der Laufzeit des Hauptvertrags. Nach Beendigung gelten die Bestimmungen zur Löschung oder Rückgabe der Daten gemäß Ziffer 6.7.

3. Art und Zweck der Verarbeitung

(1) Art: Erheben, Speichern, Verändern, Übermitteln, Einschränken und Löschen von Daten im Rahmen der Bereitstellung und Nutzung der Software.

(2) Zweck: Ausschließlich die Erfüllung der vertraglichen Leistungen gemäß Hauptvertrag und den Weisungen des Verantwortlichen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt; es erfolgt kein Tracking und keine werbliche Nutzung der Inhaltsdaten.

4. Art der personenbezogenen Daten und Kategorien betroffener Personen

(1) Art der Daten (abhängig davon, was der Verantwortliche in die Software eingibt):

• Stammdaten (Name, Firma, Adresse, E-Mail, Telefon von Kontakten des Verantwortlichen)
• Vertragsdaten (Vertragspartner, Laufzeiten, Kündigungsfristen, Konditionen)
• Angebots- und Rechnungsdaten, einschließlich E-Rechnungsdaten (Empfänger, Positionen, Beträge, Zahlungsziele, Steuernummern)
• Kommunikations- und Vertriebsdaten (Notizen, Interaktionshistorie, Verkaufschancen)
• Telefonvertriebsdaten, soweit der Verantwortliche das Modul Anrufe und Abschlüsse nutzt (Leads mit Firma, Ansprechpartner, Telefonnummer, E-Mail-Adresse und Webseite, Anrufversuche mit Zeitpunkt, Dauer und Ergebnis, Qualifizierungsangaben, Gesprächsnotizen, Übergabe-Notizen, Termine und Verlustgründe)
• Tonaufnahmen von Telefongesprächen, ausschließlich wenn der Verantwortliche die Gesprächsaufzeichnung aktiv einschaltet und je Gespräch bestätigt, dass die Einwilligung aller Gesprächsteilnehmer vorliegt (die Funktion ist ab Werk ausgeschaltet; ohne diese Bestätigung nimmt die Software keine Aufnahme entgegen)
• Aufgaben- und Organisationsdaten (Aufgaben, Zuständigkeiten, Fristen)
• Personaldaten, soweit der Verantwortliche das Personal-Modul nutzt (Namen, Abteilungen, Abwesenheiten wie Urlaub, Krankheit und sonstige Abwesenheitszeiten, Urlaubsanträge und Urlaubskonten)
• Arbeitszeitdaten aus der Stempeluhr (Beginn, Pause und Ende je Person) einschließlich des Korrekturprotokolls (Zeitpunkt, Grund, alter und neuer Wert) sowie die daraus erstellten Auswertungen des Arbeitszeit-Prüfberichts
• Projekt- und Zeiterfassungsdaten (Projekte, Budgets, erfasste Zeiten je Person)
• Termin- und Buchungsdaten (Name, E-Mail-Adresse, Telefonnummer und Anliegen von Personen, die über die Buchungsseite des Verantwortlichen einen Termin buchen, sowie Terminzeitpunkt und Terminart)
• Kalenderdaten aus den vom Verantwortlichen verbundenen Kalendern (belegte Zeiträume und Termintitel, abgerufen über die hinterlegte Kalender-Adresse)
• Anfragen über das Kontaktformular des Verantwortlichen (Name, E-Mail-Adresse, Telefonnummer, Nachricht)
• Planungsdaten der Liquiditätsplanung (eigene Planzeilen, bei Nutzung des Personal-Moduls auch monatliche Lohnsummen)
• Nachrichten im internen Team-Chat zwischen Nutzern des Verantwortlichen
• Nutzerdaten der Software-Nutzer des Verantwortlichen (Name, E-Mail, Rolle, Anmeldedaten)
• Nutzungsdaten (IP-Adressen, Log-Daten, Zugriffszeiten)

(2) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind grundsätzlich nicht Gegenstand der vereinbarten Verarbeitung. Einzige Ausnahme: Nutzt der Verantwortliche das Personal-Modul, können bei der Abwesenheitsverwaltung Daten verarbeitet werden, aus denen sich mittelbar Gesundheitsinformationen ergeben (Abwesenheitsart „krank", jeweils nur Zeitraum und Abwesenheitsart, keine Diagnosen, keine Atteste, keine sonstigen Gesundheitsangaben). Diese Verarbeitung ist von diesem AVV umfasst; der Verantwortliche stellt sicher, dass er hierfür über eine Rechtsgrundlage verfügt (insbesondere § 26 Abs. 3 BDSG, Art. 9 Abs. 2 lit. b DSGVO) und gibt darüber hinaus keine besonderen Kategorien personenbezogener Daten (z. B. Diagnosen, Gesundheitsakten, Religionszugehörigkeit) in die Software ein, sofern nicht gesondert vereinbart.

(3) Kategorien betroffener Personen:

• Kunden und Interessenten des Verantwortlichen, einschließlich Personen, die über die Buchungsseite oder das Kontaktformular des Verantwortlichen einen Termin buchen oder eine Anfrage senden
• Ansprechpartner bei Geschäftspartnern und Lieferanten des Verantwortlichen
• Beschäftigte und Nutzer der Software auf Seiten des Verantwortlichen

5. Pflichten und Rechte des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung, die Wahrung der Betroffenenrechte und die Erfüllung der Informationspflichten allein verantwortlich.

(2) Der Verantwortliche kann jederzeit Weisungen zur Verarbeitung erteilen, soweit sie im Rahmen des Hauptvertrags liegen. Weisungen erfolgen in Textform (E-Mail genügt). Standardweisung ist die vertragsgemäße Nutzung der Software über deren Funktionen (Anlegen, Ändern, Exportieren, Löschen von Daten durch den Verantwortlichen selbst).

(3) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(4) Gesprächsaufzeichnung: Schaltet der Verantwortliche die Aufzeichnung von Telefongesprächen ein, ist er allein dafür verantwortlich, vor jeder Aufnahme die Einwilligung aller Gesprächsteilnehmer einzuholen und nachweisen zu können (Art. 6 Abs. 1 lit. a DSGVO; das Aufnehmen des nichtöffentlich gesprochenen Wortes ohne Einwilligung ist nach § 201 StGB strafbar). Er informiert die betroffenen Personen nach Art. 13 DSGVO, nimmt die Verarbeitung in sein Verzeichnis von Verarbeitungstätigkeiten auf und legt in der Software eine Aufbewahrungsfrist fest. Er gibt über die Aufzeichnung keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO in die Software ein. Der Auftragsverarbeiter stellt ausschließlich die technische Möglichkeit bereit; er hört Aufnahmen nicht an und wertet sie nicht aus.

6. Pflichten des Auftragsverarbeiters

6.1 Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und der dokumentierten Weisungen des Verantwortlichen, sofern nicht Rechtsvorschriften der Union oder der Mitgliedstaaten eine andere Verarbeitung vorschreiben; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern rechtlich zulässig.

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

6.2 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet wurden (schriftliche Verpflichtung auf das Datengeheimnis) oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

6.3 Technische und organisatorische Maßnahmen (TOMs)

(1) Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Die aktuell umgesetzten Maßnahmen sind in Anlage 3 beschrieben.

(2) Der Auftragsverarbeiter kann die TOMs weiterentwickeln, sofern das Schutzniveau nicht wesentlich unterschritten wird. Wesentliche Änderungen werden dem Verantwortlichen mitgeteilt.

6.4 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung der in Anlage 2 aufgeführten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der die Datenschutzpflichten dieses AVV im Wesentlichen abbildet.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern) in Textform mit einer Frist von mindestens 4 Wochen. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein außerordentliches Kündigungsrecht des Hauptvertrags zu.

(4) Der Auftragsverarbeiter bleibt für die Einhaltung der Pflichten durch Unterauftragsverarbeiter voll verantwortlich.

6.5 Unterstützungspflichten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Betroffenenanfragen (Art. 12 bis 22 DSGVO). Die Software stellt hierfür Export- und Löschfunktionen bereit.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung).

(3) Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten, die dessen Daten betreffen, unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Informationen gemäß Art. 33 Abs. 3 DSGVO.

6.6 Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche kann die Einhaltung dieses AVV überprüfen: vorrangig durch Anforderung von Nachweisen (aktuelle TOM-Dokumentation, Zertifikate, Auditberichte, Selbstauskünfte), nachrangig durch Kontrollen in Absprache mit dem Auftragsverarbeiter zu üblichen Geschäftszeiten mit angemessener Ankündigungsfrist (mindestens 14 Tage).

(2) Der Auftragsverarbeiter stellt auf Anforderung alle zur Kontrolle erforderlichen Informationen bereit.

6.7 Löschung und Rückgabe von Daten

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück (Export in einem gängigen, maschinenlesbaren Format, z. B. CSV), sofern keine gesetzliche Aufbewahrungspflicht besteht.

(2) Die Löschung oder Rückgabe erfolgt unverzüglich, spätestens innerhalb von 30 Tagen nach Beendigung des Vertrags. Daten in Backups werden spätestens mit der regulären Backup-Rotation, spätestens nach weiteren 35 Tagen, überschrieben bzw. gelöscht. Die Löschung wird auf Anforderung in Textform bestätigt.

6.8 Zugriffe des Auftragsverarbeiters im laufenden Betrieb

(1) Für Betrieb, Abrechnung und Support sind dem Auftragsverarbeiter in seinem Verwaltungssystem je Organisation der Firmenname, Name und E-Mail-Adresse des Kontos, der Abo-Stand (Testphase, gebuchte Plätze) sowie zusammengefasste Nutzungskennzahlen (etwa Anzahl der Einträge je Bereich und Zeitpunkt der letzten Aktivität, ohne Inhalte) zugänglich. Nachrichten, die der Verantwortliche über den Support-Chat sendet, sind der absendenden Organisation zugeordnet.

(2) Der Auftragsverarbeiter kann Hinweise zu rechtlichen oder produktbezogenen Änderungen als Aufgaben in die Organisationen einstellen, auch gezielt nach Branche oder Land.

(3) Folgende Verarbeitungen laufen automatisiert auf den Servern des Auftragsverarbeiters, ohne dass Personen des Auftragsverarbeiters die Inhalte einsehen: der Abruf der vom Verantwortlichen hinterlegten Kalender-Adressen etwa alle 10 Minuten zur Ermittlung belegter Zeiten; der Versand von Buchungsbestätigungen, Absagen und Terminerinnerungen an Buchende; die Bereitstellung eines abonnierbaren Kalenders der gebuchten Termine; sofern der Verantwortliche sie eingeschaltet hat, tägliche Erinnerungsmails aus fälligen Aufgaben und nahenden Vertragsfristen an die Organisation.

(4) Inhaltsdaten des Verantwortlichen sieht der Auftragsverarbeiter nicht manuell ein, es sei denn, der Verantwortliche bittet im Einzelfall darum (zum Beispiel zur Fehleranalyse) oder dies ist zur Behebung einer Störung oder aufgrund einer rechtlichen Verpflichtung erforderlich. Datenbankzugriffe mit administrativen Rechten werden protokolliert.

7. Haftung

(1) Die Parteien haften einander nach den gesetzlichen Vorschriften (Art. 82 DSGVO).

(2) Die Haftung des Auftragsverarbeiters für einfache Fahrlässigkeit wird auf die Höhe der in den letzten 12 Monaten gezahlten Vergütung, mindestens 10.000 Euro, pro Schadensfall begrenzt. Diese Begrenzung gilt nicht bei Vorsatz, grober Fahrlässigkeit, Schäden an Leben, Körper oder Gesundheit sowie soweit Art. 82 DSGVO zwingend entgegensteht.

(3) Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen Dritter frei, die auf einer rechtswidrigen Verarbeitung durch den Verantwortlichen beruhen (insbesondere Eingabe von Daten ohne Rechtsgrundlage).

8. Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

(2) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Hannover, sofern der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

(4) Dieser AVV tritt mit Abschluss des Hauptvertrags in Kraft.

Anlage 1: Beschreibung der Verarbeitung

1. Gegenstand: Bereitstellung und Betrieb der Web-Software „unternio" (SaaS) durch die Pik Production GmbH mit den Modulen Kontrollregister (Aufgaben und Fristen), Vertragsregister, CRM (Kontakte, Verkaufspipeline, Kommunikationshistorie), Anrufe und Abschlüsse (Anrufliste, Vertriebs-Pipeline, Gesprächsleitfäden sowie, nur sofern vom Verantwortlichen eingeschaltet, Aufzeichnung von Telefongesprächen), Angebote und Rechnungen (einschließlich E-Rechnung), Online-Terminbuchung (Buchungsseite, Kalender-Abgleich über die vom Verantwortlichen hinterlegte Kalender-Adresse mit Abruf durch den Server des Auftragsverarbeiters etwa alle 10 Minuten, Buchungs- und Erinnerungsmails an Buchende, abonnierbarer Terminkalender), Kontaktformular, Projekte und Zeiterfassung, Liquiditätsplanung, interner Team-Chat sowie Personal- und Arbeitszeitverwaltung (Stempeluhr, Abwesenheiten und Urlaubskonten, Arbeitszeit-Prüfbericht), jeweils soweit vom Verantwortlichen genutzt. Zu den automatisierten Verarbeitungen im laufenden Betrieb siehe Ziffer 6.8.

2. Art der Daten: siehe Ziffer 4 Abs. 1 und 2 dieses AVV.

3. Kategorien betroffener Personen: siehe Ziffer 4 Abs. 3 dieses AVV.

4. Zweck: Erfüllung der vertraglichen Leistungen gemäß Hauptvertrag, insbesondere Bereitstellung, Wartung, Support und Weiterentwicklung der Software sowie Sicherstellung ihrer Funktionalität und Sicherheit.

5. TOMs: siehe Anlage 3.

6. Ort der Datenverarbeitung: Ausschließlich Rechenzentren in Deutschland (Hetzner Online GmbH, Standort Nürnberg). Datenbank, Authentifizierung und Dateispeicher (selbst gehostetes Supabase) sowie der E-Rechnungsdienst laufen auf demselben, vom Auftragsverarbeiter betriebenen Server. Aus der Software heraus findet keine Übermittlung in Drittländer statt. Für E-Mails an den Support nutzt der Auftragsverarbeiter Microsoft 365 (siehe Anlage 2); dabei ist eine Übermittlung in die USA nicht ausgeschlossen.

Anlage 2: Aktuelle Unterauftragsverarbeiter

Hinweis 1: Der Zahlungsdienstleister Mollie B.V. (Amsterdam, Niederlande) verarbeitet Zahlungsdaten des Verantwortlichen bei Abschluss des Abos. Mollie handelt dabei als eigenständiger Verantwortlicher (regulierter Zahlungsdienstleister) und ist daher kein Unterauftragsverarbeiter im Sinne dieser Anlage.

Hinweis 2: Datenbank, Authentifizierung und Dateispeicher (selbst gehostetes Supabase), die Reichweitenmessung (selbst gehostetes Umami) sowie der E-Rechnungsdienst werden vom Auftragsverarbeiter selbst auf dem Hetzner-Server betrieben und sind keine gesonderten Unterauftragsverarbeiter. Für den Kalender-Abgleich ruft der Server des Auftragsverarbeiters die vom Verantwortlichen hinterlegte Kalender-Adresse bei dessen Kalenderanbieter (zum Beispiel Google, Microsoft oder Apple) ab; dabei werden keine Inhaltsdaten des Verantwortlichen an diesen Anbieter übermittelt, der Kalenderanbieter ist kein Unterauftragsverarbeiter des Auftragsverarbeiters. Das Quellcode-Hosting (GitHub) enthält keine personenbezogenen Kundendaten und ist daher kein Unterauftragsverarbeiter. Das Cookie-Einwilligungstool CCM19 (Papoo Software & Media GmbH) und das Google-Ads-Conversion-Tag kommen ausschließlich auf der öffentlichen Website zum Einsatz, nicht innerhalb der vom Verantwortlichen genutzten Anwendung, und verarbeiten keine Inhaltsdaten des Verantwortlichen.

Anlage 3: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 17. September 2026. Der Auftragsverarbeiter setzt insbesondere folgende Maßnahmen um:

Vertraulichkeit

• Zutrittskontrolle: Serverbetrieb ausschließlich im ISO-27001-zertifizierten Rechenzentrum der Hetzner Online GmbH in Deutschland (Standort Nürnberg) mit Zutrittssicherung, Videoüberwachung und 24/7-Betrieb durch Hetzner.
• Zugangskontrolle: Authentifizierung der Nutzer über E-Mail und Passwort (kryptografisches Hashing) mit E-Mail-Bestätigung per Einmal-Code; Zwei-Faktor-Authentifizierung (2FA) für administrative Zugänge verpflichtend und für Nutzer der Software per Authenticator-App verfügbar; SSH-Zugang zum Server ausschließlich per Schlüsselpaar.
• Dateiablagen: Vertragsdateien und Gesprächsaufzeichnungen liegen in nicht öffentlichen Speicherbereichen, nach Organisation getrennt; der Zugriff erfolgt ausschließlich über kurzlebige signierte Links (fünf Minuten) für angemeldete Mitglieder derselben Organisation. Gesprächsaufzeichnungen werden nach der vom Verantwortlichen eingestellten Frist automatisch gelöscht.
• Zugriffskontrolle: Strikte Mandantentrennung auf Datenbankebene über Row Level Security (RLS) auf allen Datentabellen; rollenbasiertes Berechtigungskonzept je Organisation mit serverseitig abgesicherter Rechteprüfung; Grundsatz der Datenminimierung und Least Privilege bei internen Zugängen; das Verwaltungssystem des Auftragsverarbeiters greift nur auf Konto-, Abo- und zusammengefasste Nutzungsdaten zu, Einsicht in Inhaltsdaten nur nach Ziffer 6.8 Abs. 4.

Integrität

• Weitergabekontrolle: Ausschließlich TLS-verschlüsselte Übertragung (HTTPS) an allen öffentlichen Endpunkten; abgesicherte Schnittstellen (Token-Authentifizierung, RLS, serverseitige Prüfung von Zugriffsrechten).
• Eingabekontrolle: Protokollierung administrativer Datenbankzugriffe; GoBD-konforme Festschreibung von Rechnungen mit fortlaufenden, nicht wiederverwendeten Nummernkreisen und Beleg-Änderungsprotokoll.

Verfügbarkeit und Belastbarkeit

• Backups: Tägliche, verschlüsselte Sicherungen der Datenbank auf einen räumlich getrennten Speicher (Hetzner Object Storage); die Wiederherstellbarkeit wird getestet.
• Serverstandort: Server der Software ausschließlich in Deutschland (zum E-Mail-Postfach siehe Anlage 2).
• Notfallvorsorge: dokumentierte Wiederaufbau- und Incident-Response-Anleitung (Runbook).

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Mandantentrennung und Zugriffsrechte werden bei wesentlichen Änderungen sowie durch wiederkehrende automatisierte Sicherheitsprüfungen kontrolliert; die TOM-Dokumentation wird mindestens jährlich sowie anlassbezogen aktualisiert.
• Zweckbindung: Kundendaten werden ausschließlich zur Leistungserbringung verarbeitet, kein Tracking, keine Werbenutzung, keine Weitergabe.

Die jeweils aktuelle, ausführliche TOM-Dokumentation stellt der Auftragsverarbeiter auf Anforderung in Textform bereit (Anfrage an support@unternio.de).