AidaForm – Auftrags­verarbeitungs­vertrag (AVV)

Zuletzt aktualisiert: 3. November 2026

Dieser Auftragsverarbeitungsvertrag (“AVV”) wird geschlossen zwischen Ihnen (der “Kunde”, “Sie”) und der Komorebi GmbH, eingetragen im Handelsregister des Amtsgerichts Bonn unter HRB 28210, Im Uckerfeld 14, 53127 Bonn, Deutschland, Betreiberin des Dienstes AidaForm (“AidaForm”, “wir”, “uns”).

1. Vertragsschluss und Geltungsbereich

1.1 Dieser AVV gilt für die Verarbeitung personenbezogener Daten durch uns in Ihrem Auftrag im Zusammenhang mit Ihrer Nutzung des Online-Formularbaukastens AidaForm, erreichbar unter my.aidaform.com und über die Website aidaform.com und ihre Sprachversionen, sowie damit verbundener Leistungen (die “Dienste”) gemäß unseren Nutzungsbedingungen.

1.2 Dieser AVV ist Bestandteil des Vertrags über die Dienste. Er wird elektronisch geschlossen, indem Sie ihn bei der Registrierung oder später in Ihrem Konto akzeptieren; einer Unterschrift bedarf es nicht (Art. 28 Abs. 9 DSGVO). Auf Anfrage stellen wir Ihnen ein von uns unterzeichnetes Exemplar zur Verfügung.

1.3 Eine englische Fassung dieses Vertrags (Data Processing Agreement) steht für Kunden außerhalb Deutschlands, Österreichs und der Schweiz zur Verfügung. Für Sie gilt die Fassung, die Sie akzeptiert haben.

2. Begriffsbestimmungen

2.1 “Datenschutzgesetze” sind alle auf die Verarbeitung nach diesem AVV anwendbaren Datenschutzvorschriften, insbesondere: (a) die Verordnung (EU) 2016/679 (“DSGVO”); (b) die DSGVO in ihrer in das Recht des Vereinigten Königreichs übernommenen Fassung (“UK GDPR”) und der UK Data Protection Act 2018; (c) das schweizerische Bundesgesetz über den Datenschutz (“DSG”); und (d) die in Anlage 6 genannten Datenschutzgesetze der US-Bundesstaaten.

2.2 Die Begriffe “Verantwortlicher”, “Auftragsverarbeiter”, “betroffene Person”, “personenbezogene Daten”, “Verarbeitung” und “Verletzung des Schutzes personenbezogener Daten” haben die Bedeutung nach der DSGVO. Entsprechende Begriffe anderer Datenschutzgesetze (z. B. “Auftragsbearbeiter” nach dem DSG) sind entsprechend auszulegen.

2.3 “Kundendaten” sind personenbezogene Daten, die Sie oder die Teilnehmer Ihrer Formulare an die Dienste übermitteln und die wir in Ihrem Auftrag verarbeiten, einschließlich Formularinhalten, hochgeladener Dateien und der Daten der Nutzer Ihres Kontos.

2.4 “Unterauftragsverarbeiter” ist ein Dritter, den wir mit der Verarbeitung von Kundendaten beauftragen.

3. Gegenstand, Dauer, Art und Zweck

3.1 Sie sind Verantwortlicher und wir sind Auftragsverarbeiter für die Kundendaten. Sind Sie selbst Auftragsverarbeiter für einen Dritten, handeln wir als Ihr Unterauftragsverarbeiter, und Sie sichern zu, dass Ihre Weisungen von diesem Dritten gedeckt sind.

3.2 Wir verarbeiten Kundendaten ausschließlich zur Erbringung der Dienste. Die Kategorien der Daten und der betroffenen Personen, Art und Zweck der Verarbeitung sowie die Speicherorte sind in Anlage 1 beschrieben.

3.3 Dieser AVV gilt, solange wir Kundendaten für Sie verarbeiten. Die Beendigung eines kostenpflichtigen Abonnements beendet diesen AVV nicht, wenn Sie die Dienste im Rahmen eines kostenlosen Tarifs weiter nutzen.

4. Weisungen

4.1 Wir verarbeiten Kundendaten nur auf Ihre dokumentierte Weisung, auch in Bezug auf die Übermittlung in Drittländer, sofern wir nicht nach dem Recht der EU oder eines EU-Mitgliedstaats, dem wir unterliegen, zur Verarbeitung verpflichtet sind. In diesem Fall teilen wir Ihnen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

4.2 Dokumentierte Weisungen sind: (a) dieser AVV; (b) Ihre Nutzung und Konfiguration der Dienste, einschließlich der von Ihnen gewählten Einstellungen (z. B. des für ein Formular ausgewählten Rechenzentrums); und (c) Weisungen, die Sie uns in Textform, z. B. per E-Mail, erteilen.

4.3 Sind wir der Auffassung, dass eine Weisung gegen Datenschutzgesetze verstößt, informieren wir Sie unverzüglich und können die Ausführung der Weisung aussetzen, bis Sie sie in Textform bestätigen oder ändern.

5. Ihre Pflichten

5.1 Als Verantwortlicher sind Sie für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage, die Information der betroffenen Personen (z. B. der Teilnehmer Ihrer Formulare) und, soweit erforderlich, die Einholung ihrer Einwilligung.

5.2 Sie entscheiden, welche Daten Sie über Ihre Formulare erheben. Sie dürfen die Dienste nicht zur Verarbeitung geschützter Gesundheitsinformationen (Protected Health Information) im Sinne des US-amerikanischen Health Insurance Portability and Accountability Act (HIPAA) nutzen, sofern mit uns kein gesondertes Business Associate Agreement geschlossen wurde.

5.3 Sie informieren uns unverzüglich, wenn Sie Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellen.

6. Vertraulichkeit

Wir stellen sicher, dass alle zur Verarbeitung von Kundendaten befugten Personen schriftlich zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen; diese Verpflichtung gilt auch nach Ende ihrer Tätigkeit fort.

7. Sicherheit

7.1 Wir treffen die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO).

7.2 Wir dürfen diese Maßnahmen an den technischen Fortschritt anpassen, sofern das Gesamtschutzniveau nicht verringert wird.

8. Unterauftrags­verarbeiter

8.1 Sie erteilen uns eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die bei Vertragsschluss beauftragten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten hiermit als genehmigt.

8.2 Wir informieren Sie mindestens dreißig (30) Tage im Voraus per E-Mail über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters.

8.3 Sie können der Änderung innerhalb von fünfzehn (15) Tagen nach unserer Mitteilung in Textform aus berechtigten datenschutzrechtlichen Gründen widersprechen. Können wir den Widerspruch nicht ausräumen, kann jede Partei die betroffenen Dienste zum Zeitpunkt der Beauftragung des neuen Unterauftragsverarbeiters kündigen.

8.4 Wir erlegen jedem Unterauftragsverarbeiter durch einen schriftlichen Vertrag (auch in elektronischer Form) Datenschutzpflichten auf, die das gleiche Schutzniveau wie dieser AVV bieten, einschließlich hinreichender Garantien für geeignete technische und organisatorische Maßnahmen. Wir bleiben Ihnen gegenüber für die Erfüllung der Pflichten unserer Unterauftragsverarbeiter verantwortlich.

9. Speicherort und Übermittlung in Drittländer

9.1 Kundendaten werden in den in Anlage 1 beschriebenen AWS-Regionen gespeichert und verarbeitet, abhängig von Ihrem Land und dem Rechenzentrum, das Sie für jedes Formular auswählen.

9.2 Werden Kundendaten in ein Land außerhalb der EU/des EWR ohne Angemessenheitsbeschluss übermittelt, erfolgt die Übermittlung auf Grundlage geeigneter Garantien nach Kapitel V DSGVO, insbesondere der Standardvertragsklauseln (“SCC”) oder des EU-US Data Privacy Framework. Einzelheiten, einschließlich der Anforderungen für das Vereinigte Königreich und die Schweiz, sind in Anlage 4 geregelt.

10. Rechte der betroffenen Personen

10.1 Unter Berücksichtigung der Art der Verarbeitung unterstützen wir Sie mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen. Sie können Kundendaten direkt in Ihrem Konto einsehen, exportieren und löschen. Zur Wahrung ihrer Integrität können übermittelte Formulardaten nicht bearbeitet werden; verlangt eine betroffene Person die Berichtigung, können Sie den Eintrag löschen und die berichtigten Daten erneut erheben.

10.2 Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage unverzüglich an Sie weiter. Wir beantworten die Anfrage nicht selbst, sondern verweisen die betroffene Person lediglich an Sie.

11. Unterstützung und Verletzungen des Schutzes personenbezogener Daten

11.1 Unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen unterstützen wir Sie bei der Einhaltung Ihrer Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.

11.2 Wir melden Ihnen jede Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, unverzüglich, spätestens jedoch 48 Stunden, nachdem uns die Verletzung bekannt geworden ist. Die Meldung enthält, soweit verfügbar, die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen. Noch nicht verfügbare Informationen werden nachgereicht, sobald sie vorliegen.

11.3 Wir ergreifen angemessene Maßnahmen, um die Verletzung einzudämmen und ihre Folgen abzumildern, und unterstützen Sie bei der Aufklärung.

11.4 Als Verantwortlicher sind Sie dafür zuständig, Verletzungen des Schutzes personenbezogener Daten, soweit gesetzlich erforderlich, der zuständigen Aufsichtsbehörde zu melden und die betroffenen Personen zu benachrichtigen. Wir stellen Ihnen hierfür die oben genannten Informationen zur Verfügung.

12. Löschung und Rückgabe

12.1 Sie können Kundendaten vor ihrer Löschung jederzeit aus Ihrem Konto exportieren. Damit üben Sie Ihr Recht auf Rückgabe der Kundendaten aus.

12.2 Löschen Sie Ihr Konto, werden alle Kundendaten sofort aus unseren Produktivsystemen gelöscht. Gelöschte Daten werden nicht wiederhergestellt. Ein Antrag auf Löschung Ihres Kontos gilt als Antrag auf Löschung der Kundendaten nach diesem Abschnitt.

12.3 Kündigen Sie den Vertrag per E-Mail, bestätigen wir den Eingang Ihrer Kündigung und löschen die Kundendaten innerhalb von zwei (2) Tagen nach dem Kündigungszeitpunkt.

12.4 Gelöschte Daten verbleiben in verschlüsselten Sicherungskopien, bis diese automatisch gelöscht werden, spätestens 35 Tage nach der Löschung.

12.5 Die Abschnitte 12.2 bis 12.4 gelten nicht, soweit wir nach dem Recht der EU oder eines Mitgliedstaats zur Aufbewahrung der Daten verpflichtet sind.

12.6 Formulareinsendungen werden fünf (5) Jahre nach ihrem Eingang automatisch gelöscht, sofern Sie sie nicht früher löschen.

13. Kontrollen

13.1 Wir stellen Ihnen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, insbesondere unsere TOM und auf Anfrage Antworten auf angemessene Sicherheitsfragebögen.

13.2 Reichen diese Informationen nicht aus, können Sie höchstens einmal pro Jahr eine Überprüfung selbst durchführen oder durch einen unabhängigen, zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, es sei denn, es bestehen begründete Anhaltspunkte für einen Verstoß gegen diesen AVV oder eine Aufsichtsbehörde verlangt eine Überprüfung.

13.3 Überprüfungen sind mindestens dreißig (30) Tage im Voraus anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen unseren Betrieb nicht unangemessen stören. Überprüfungen der AWS-Rechenzentren werden durch die Zertifizierungen und Prüfberichte von AWS ersetzt.

13.4 Sie tragen die Kosten der Überprüfung, es sei denn, sie ergibt einen wesentlichen Verstoß unsererseits gegen diesen AVV.

14. Änderungen dieses AVV

14.1 Wir können diesen AVV ändern, insbesondere um Änderungen der Rechtslage, der Dienste oder der TOM Rechnung zu tragen. Über wesentliche Änderungen informieren wir Sie mindestens dreißig (30) Tage vor ihrem Inkrafttreten per E-Mail. Widersprechen Sie, können Sie die Dienste zum Zeitpunkt des Inkrafttretens der Änderung kündigen.

14.2 Änderungen, die gesetzlich oder von einer Aufsichtsbehörde vorgeschrieben sind, können früher in Kraft treten. Für Änderungen der Liste der Unterauftragsverarbeiter gilt Abschnitt 8.

15. Anwendbares Recht und Rangfolge

15.1 Dieser AVV einschließlich seiner Anlagen unterliegt deutschem Recht. Ausschließlicher Gerichtsstand ist, soweit gesetzlich zulässig, Bonn, Deutschland. Dies gilt nicht, soweit die SCC oder das UK International Data Transfer Addendum zwingend etwas anderes vorsehen.

15.2 Bei Widersprüchen gilt folgende Rangfolge: (1) die SCC, soweit anwendbar; (2) die Anlagen 5 und 6 für die von ihnen erfassten Rechtsordnungen; (3) dieser AVV; (4) die Nutzungsbedingungen.

15.3 Sollte eine Bestimmung dieses AVV unwirksam sein, bleiben die übrigen Bestimmungen wirksam.

Anlage 1 – Beschreibung der Verarbeitung

Speicherorte

Anlage 2 – Technische und organisatorische Maßnahmen (TOM)

1. Geltungsbereich

Diese technischen und organisatorischen Maßnahmen (“TOM”) sind eine Anlage zum Auftragsverarbeitungsvertrag zwischen der Komorebi GmbH, Betreiberin des Dienstes AidaForm (“AidaForm”, “wir”), und dem Kunden. Sie beschreiben, wie wir personenbezogene Daten schützen, die wir im Auftrag des Kunden verarbeiten, gemäß Art. 32 DSGVO und Art. 8 des schweizerischen Bundesgesetzes über den Datenschutz (DSG).

Hosting und Speicherort. AidaForm läuft auf der Cloud-Infrastruktur von Amazon Web Services (“AWS”). Unser Vertragspartner ist die Amazon Web Services EMEA SARL, Luxemburg, gemeinsam mit ihrer deutschen Niederlassung in München. Der Speicherort der Kundendaten hängt vom Land des Kunden und vom für jedes Formular ausgewählten Rechenzentrum ab:

• Kunden in der EU/im EWR, im Vereinigten Königreich und in der Schweiz: Kontodaten und Formulardaten werden in eu-central-1 (Frankfurt, Deutschland) gespeichert und verarbeitet, sofern der Kunde für ein Formular nicht “Global” auswählt.

• Kunden in anderen Ländern: Kontodaten können in den AWS-Regionen us-east-1 (N. Virginia, USA) und eu-west-1 (Irland) gespeichert und verarbeitet werden. Für jedes Formular wählt der Kunde das Rechenzentrum:

  • “Germany”: Formulardaten werden in eu-central-1 (Frankfurt, Deutschland) gespeichert und verarbeitet;

  • “Global”: Formulardaten können in us-east-1 (N. Virginia, USA) und eu-west-1 (Irland) gespeichert und verarbeitet werden.

• Sicherungskopien werden in der EU-Region eu-west-1 (Irland) gespeichert.

• Werden Daten außerhalb der EU/des EWR gespeichert, erfolgt die Übermittlung auf Grundlage eines Angemessenheitsbeschlusses (einschließlich des EU-US Data Privacy Framework) oder der im AWS Data Processing Addendum enthaltenen Standardvertragsklauseln.

• Genutzte Dienste: EC2, S3, DynamoDB, Lambda, Cognito, Amazon SES.

Wir unterhalten ein Informationssicherheitsprogramm (“ISP”), das darauf ausgerichtet ist, (i) personenbezogene Daten vor versehentlichem oder unrechtmäßigem Verlust, Zugriff oder Offenlegung zu schützen; (ii) vernünftigerweise vorhersehbare interne und externe Risiken zu erkennen; und (iii) Sicherheitsrisiken durch Risikobewertung und regelmäßige Tests zu minimieren. Wir werden das Gesamtsicherheitsniveau während der Laufzeit dieses AVV nicht wesentlich verringern.

2. Organisation der Informationssicherheit

• Richtlinien zur Informationssicherheit sind dokumentiert, von der Geschäftsführung freigegeben, allen Mitarbeitenden bekannt gegeben und werden mindestens jährlich überprüft.

• Rollen und Verantwortlichkeiten für Informationssicherheit und Datenschutz sind festgelegt und zugewiesen. Die Verantwortung liegt bei der Geschäftsführung. Kontakt für Datenschutz: support@aidaform.com.

• Wir bewerten Informationssicherheitsrisiken mindestens jährlich und vor wesentlichen Änderungen.

• Ein Verzeichnis der im Auftrag von Verantwortlichen durchgeführten Verarbeitungstätigkeiten wird geführt (Art. 30 Abs. 2 DSGVO).

3. Zutrittskontrolle

• AidaForm betreibt keine eigenen Rechenzentren oder Serverräume. Alle Produktivsysteme werden in AWS-Rechenzentren betrieben, die nach ISO/IEC 27001, 27017 und 27018 zertifiziert und gegen unbefugten Zutritt sowie Umweltgefahren (Feuer, Wasser, Stromausfall, Überhitzung) geschützt sind.

• Der Zutritt zu den Büroräumen von AidaForm ist auf berechtigte Personen beschränkt.

• Zutrittsrechte werden nur bei berechtigtem geschäftlichem Bedarf vergeben und unverzüglich entzogen, wenn sie nicht mehr benötigt werden.

4. Zugangskontrolle

• Jedes Benutzerkonto ist persönlich und eindeutig einer Person zugeordnet; es gibt keine gemeinsam genutzten Konten.

• Der Zugang zu Produktivsystemen und Administrationskonsolen erfordert eine Multi-Faktor-Authentifizierung.

• Passwortregeln und Schutzmechanismen gegen wiederholte fehlgeschlagene Anmeldeversuche schützen vor dem Erraten von Passwörtern und Brute-Force-Angriffen (umgesetzt mit AWS Cognito und AWS WAF).

• Standardpasswörter und -konten werden vor der Inbetriebnahme von Systemen geändert oder deaktiviert.

• Authentifizierungsdaten sind bei der Übertragung und Speicherung geschützt.

• Beim Ausscheiden von Mitarbeitenden oder Auftragnehmern werden alle Zugangsrechte unverzüglich entzogen.

5. Zugriffskontrolle

• Berechtigungen folgen dem Prinzip der minimalen Rechtevergabe und dem Need-to-know-Prinzip.

• Die Vergabe und Änderung von Zugriffsrechten wird dokumentiert und von einer zweiten Person freigegeben (Vier-Augen-Prinzip). Die Freigabe erfolgt durch die Geschäftsführung; Änderungen an den Zugriffsrechten der Geschäftsführung werden von der technischen Leitung freigegeben.

• Zugriffsrechte werden mindestens jährlich sowie bei Eintritt, Austritt oder Rollenwechsel von Mitarbeitenden überprüft und bei Bedarf angepasst.

• Der Zugriff auf Kundendaten in Produktivsystemen ist auf eine kleine Zahl festgelegter Personen mit betrieblichem Bedarf beschränkt, zuzüglich eines dokumentierten Notfallzugangs.

• Mitarbeitende von AidaForm greifen nur auf Kundendaten zu, soweit dies zur Erbringung des Dienstes, für Support auf Anfrage des Kunden oder zur Erfüllung gesetzlicher Pflichten erforderlich ist.

6. Weitergabekontrolle und Verschlüsselung

• Alle über öffentliche Netze übertragenen Daten werden mit TLS 1.2 oder höher verschlüsselt.

• Gespeicherte Daten (Datenbanken, Dateispeicher, Sicherungskopien) werden mit AES-256 über AWS KMS verschlüsselt.

• Es werden ausschließlich sichere, nicht kompromittierte kryptografische Verfahren und vertrauenswürdige Zertifizierungsstellen verwendet. Zertifikate werden nach einem festgelegten Verfahren ausgestellt, erneuert und widerrufen.

• Der Zugriff auf Produktivressourcen ist durch AWS-IAM-Richtlinien mit minimalen Berechtigungen und, soweit zutreffend, durch VPC- und Security-Group-Regeln beschränkt, die nur erforderliche Verbindungen zulassen.

• Benachrichtigungen über Formulareinträge werden per E-Mail nur an vom Kunden festgelegte Empfänger gesendet. Benachrichtigungen können die übermittelten Formulardaten enthalten. Der Kunde kann E-Mail-Benachrichtigungen jederzeit deaktivieren und Einträge stattdessen in seinem Konto abrufen.

7. Eingabekontrolle und Protokollierung

• Sicherheitsrelevante Systemereignisse und administrative Aktionen werden protokolliert (AWS CloudTrail und AWS CloudWatch). Protokolle sind gegen Manipulation geschützt und werden 90 Tage aufbewahrt.

• Protokolle werden kontinuierlich über automatische Alarme ausgewertet.

• Werden über AidaForm-Formulare Einwilligungen eingeholt, wird der Eintrag mit Zeitstempel gespeichert, sodass der Kunde die Einwilligung nachweisen kann.

• Kapazität und Verfügbarkeit der Systeme werden mit AWS CloudWatch Alarms überwacht.

8. Trennungskontrolle

• Die Daten verschiedener Kunden sind logisch über die Konto-ID getrennt, was in Anwendung und Datenbank durchgesetzt wird; jeder Kunde kann nur auf seine eigenen Daten zugreifen.

• Produktiv-, Test- und Entwicklungsumgebungen sind getrennt. In Produktivsystemen finden keine Entwicklung und keine Tests statt, und Kundendaten aus dem Produktivsystem werden nicht für Tests verwendet.

9. Verfügbarkeitskontrolle und Belastbarkeit

• Sicherungskopien werden täglich erstellt, verschlüsselt und getrennt von den Primärdaten in der EU-Region gespeichert.

• Sicherungskopien werden 35 Tage aufbewahrt und danach gelöscht.

• Die Wiederherstellung aus Sicherungskopien wird mindestens jährlich getestet.

• Wir unterhalten einen risikobasierten Notfall- und Wiederherstellungsplan, der die Wiederherstellung von Systemen und Daten, den Notbetrieb und die Kommunikation mit Kunden umfasst. Der Plan wird mindestens jährlich überprüft und getestet.

• Die Produktivinfrastruktur nutzt redundante AWS-Komponenten.

10. Sichere Entwicklung, Änderungs- und Schwachstellenmanagement

• Software wird nach Best Practices der sicheren Softwareentwicklung entwickelt.

• Änderungen werden vor der Produktivsetzung auf Funktionalität und Sicherheitslücken getestet und freigegeben.

• Systeme sind gehärtet: Es sind nur für den Betrieb erforderliche Dienste und Funktionen aktiviert.

• Systeme und Abhängigkeiten von Drittanbietern werden regelmäßig auf bekannte Schwachstellen geprüft. Festgestellte Schwachstellen werden bewertet und innerhalb festgelegter Fristen je nach Schweregrad behoben.

• Sicherheitsupdates werden zeitnah nach ihrer Veröffentlichung eingespielt.

11. Umgang mit Sicherheitsvorfällen

• Ein dokumentierter Prozess zur Behandlung von Sicherheitsvorfällen umfasst Erkennung, Bewertung, Eindämmung, Wiederherstellung und Dokumentation.

• Alle Mitarbeitenden folgen einem einheitlichen Verfahren zur internen Meldung vermuteter Vorfälle.

• Verletzungen des Schutzes personenbezogener Daten, die Kundendaten betreffen, werden dem Kunden unverzüglich, spätestens jedoch 48 Stunden nach Bekanntwerden gemeldet. Die Meldung enthält, soweit verfügbar, die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen.

• Wir unterstützen den Kunden bei der Erfüllung seiner eigenen Melde- und Dokumentationspflichten.

12. Kontrolle der Unterauftrags­verarbeiter

• Unterauftragsverarbeiter werden nur auf Grundlage eines schriftlichen Vertrags (auch in elektronischer Form) beauftragt, der ihnen Datenschutzpflichten auferlegt, die denen des Auftragsverarbeitungsvertrags entsprechen, einschließlich Sicherheitsanforderungen und eines Kontrollrechts.

• Unterauftragsverarbeiter werden nach sorgfältiger Prüfung ihrer Sicherheitsmaßnahmen und Zertifizierungen ausgewählt und jährlich überprüft.

• Die aktuelle Liste der Unterauftragsverarbeiter ist in Anlage 3 zu diesem AVV enthalten. Alle Unterauftragsverarbeiter haben ihren Sitz in der EU.

• Werden Kundendaten außerhalb der EU/des EWR gespeichert (siehe Abschnitt 1), erfolgt die Übermittlung auf Grundlage eines Angemessenheitsbeschlusses oder der im AWS Data Processing Addendum enthaltenen Standardvertragsklauseln.

13. Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen

• Prozesse und Systeme sind so gestaltet, dass Erhebung und Verarbeitung auf das für den angegebenen Zweck erforderliche Maß beschränkt sind.

• Kunden können Formulardaten in ihrem Konto einsehen, exportieren und löschen sowie die Verarbeitung einschränken oder beenden, um Anfragen betroffener Personen beantworten zu können.

• Wir verarbeiten personenbezogene Daten nur auf dokumentierte Weisung des Kunden.

• Ein Löschkonzept legt Aufbewahrungsfristen fest. Gelöschte Kundendaten werden aus den Produktivsystemen entfernt und nicht wiederhergestellt; verschlüsselte Sicherungskopien werden nach 35 Tagen automatisch gelöscht.

• Kundendaten werden ausschließlich auf AWS-Infrastruktur gespeichert, nicht auf Wechseldatenträgern. Temporäre Dateien werden nach der Verarbeitung gelöscht.

14. Personelle Sicherheit und Endgeräte

• Alle Mitarbeitenden und Auftragnehmer sind schriftlich zur Vertraulichkeit verpflichtet; diese Verpflichtung gilt auch nach Ende ihrer Tätigkeit fort.

• Mitarbeitende werden bei Eintritt und mindestens einmal jährlich zu Informationssicherheit und Datenschutz geschult.

• Laptops und mobile Geräte sind durch Festplattenverschlüsselung und Bildschirmsperre geschützt, sodass auf Daten verlorener oder gestohlener Geräte nicht zugegriffen werden kann.

• Die Nutzung von USB-Sticks und anderen Wechseldatenträgern für Kundendaten ist untersagt.

• Geräte dürfen im öffentlichen Raum nicht unbeaufsichtigt gelassen werden.

15. Überprüfung, Zertifizierungen und Änderungen

• Diese Maßnahmen werden mindestens jährlich überprüft und bei Bedarf aktualisiert, insbesondere nach wesentlichen Änderungen oder Vorfällen. Änderungen werden dokumentiert.

• AidaForm verfügt derzeit über keine eigene Zertifizierung im Bereich Informationssicherheit. Unser Infrastrukturanbieter AWS ist nach ISO/IEC 27001, 27017 und 27018 zertifiziert und wird regelmäßig von unabhängigen Dritten geprüft.

• Auf Anfrage stellen wir dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Maßnahmen erforderlich sind.

• Wir können diese TOM an den technischen Fortschritt anpassen, sofern das Gesamtschutzniveau nicht verringert wird.

Anlage 3 – Unterauftrags­verarbeiter

Anlage 4 – Übermittlung in Drittländer

1. Übermittlung an Kunden außerhalb der EU/des EWR

1.1 Haben Sie Ihren Sitz in einem Land außerhalb der EU/des EWR, für das kein Angemessenheitsbeschluss besteht, und werden Ihnen Kundendaten aus der EU zur Verfügung gestellt (z. B. über Ihr Konto oder E-Mail-Benachrichtigungen), gelten die mit Durchführungsbeschluss (EU) 2021/914 der Kommission angenommenen Standardvertragsklauseln, Modul Vier (Auftragsverarbeiter an Verantwortlichen), als durch Verweis in diesen AVV einbezogen.

1.2 Für diese SCC gilt: (a) wir sind Datenexporteur und Sie sind Datenimporteur; (b) Klausel 7 (Kopplungsklausel) findet keine Anwendung; (c) die fakultative Formulierung in Klausel 11 findet keine Anwendung; (d) Klausel 17: Die SCC unterliegen deutschem Recht; (e) Klausel 18: Streitigkeiten werden von den Gerichten in Bonn, Deutschland, entschieden; (f) die nach Anhang I der SCC erforderlichen Angaben ergeben sich aus Anlage 1 dieses AVV.

2. Weiterübermittlung in AWS-Regionen außerhalb der EU/des EWR

Werden Kundendaten in einer AWS-Region außerhalb der EU/des EWR gespeichert (siehe Anlage 1), erfolgt die Übermittlung auf Grundlage des AWS Data Processing Addendum, das die SCC (Modul Drei, Auftragsverarbeiter an Auftragsverarbeiter) sowie die entsprechenden Übermittlungsmechanismen für das Vereinigte Königreich und die Schweiz enthält. Die Amazon Web Services, Inc. ist zudem nach dem EU-US Data Privacy Framework, dessen UK-Erweiterung und dem Swiss-US Data Privacy Framework zertifiziert.

3. Vereinigtes Königreich

3.1 Übermittlungen von Kundendaten aus dem Vereinigten Königreich in die EU/den EWR sind durch die Angemessenheitsregelungen des Vereinigten Königreichs gedeckt.

3.2 Werden Kundendaten aus dem Vereinigten Königreich in ein Drittland übermittelt, das nicht von diesen Angemessenheitsregelungen erfasst ist, gilt zusätzlich zu den oben genannten SCC das vom UK Information Commissioner herausgegebene International Data Transfer Addendum zu den EU-SCC. Verweise auf die DSGVO sind als Verweise auf die UK GDPR zu verstehen.

4. Schweiz

Unterliegen Kundendaten dem DSG, gelten die SCC mit folgenden Anpassungen: (a) zuständige Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), soweit die Übermittlung dem DSG unterliegt; (b) Verweise auf die DSGVO sind als Verweise auf das DSG zu verstehen; (c) der Begriff “Mitgliedstaat” darf nicht so ausgelegt werden, dass betroffene Personen in der Schweiz von der Möglichkeit ausgeschlossen werden, ihre Rechte an ihrem gewöhnlichen Aufenthaltsort einzuklagen.

Anlage 5 – Zusatz für die Schweiz

Dieser Zusatz gilt, soweit die Verarbeitung von Kundendaten dem schweizerischen Bundesgesetz über den Datenschutz (DSG) unterliegt.

1. Dieser AVV ist ein Vertrag über die Bearbeitung durch einen Auftragsbearbeiter im Sinne von Art. 9 DSG. Die in diesem AVV verwendeten Begriffe sind entsprechend den Begriffen des DSG auszulegen (z. B. “Auftragsverarbeiter” als “Auftragsbearbeiter”, “Verarbeitung” als “Bearbeitung”).

2. Wir treffen Maßnahmen zur Datensicherheit gemäß Art. 8 DSG und der Datenschutzverordnung (DSV), wie in Anlage 2 beschrieben.

3. Wir ziehen Unterauftragsbearbeiter nur mit Ihrer vorherigen allgemeinen Genehmigung gemäß Abschnitt 8 bei (Art. 9 Abs. 3 DSG).

4. Wir melden Ihnen jede Verletzung der Datensicherheit so rasch als möglich (Art. 24 Abs. 3 DSG), in jedem Fall innerhalb der in Abschnitt 11.2 genannten Frist.

5. Bekanntgaben von Kundendaten ins Ausland erfolgen nur gemäß Art. 16 und 17 DSG, wie in Anlage 4 beschrieben.

6. Zuständige Aufsichtsbehörde für Angelegenheiten nach dem DSG ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB).

Anlage 6 – Zusatz für Datenschutzgesetze der US-Bundesstaaten

Dieser Zusatz gilt, soweit die Verarbeitung von Kundendaten dem California Consumer Privacy Act in der durch den California Privacy Rights Act geänderten Fassung (“CCPA”) oder einem anderen umfassenden Datenschutzgesetz eines US-Bundesstaats unterliegt, einschließlich derjenigen von Virginia, Colorado, Connecticut, Utah, Texas, Oregon und anderer Bundesstaaten mit vergleichbaren Gesetzen (zusammen “US-Datenschutzgesetze”). Insoweit sind Sie “business” bzw. “controller” und wir Ihr “service provider” bzw. “processor”.

Wir verpflichten uns:

1. Kundendaten nur für den begrenzten und festgelegten Geschäftszweck der Erbringung der Dienste gemäß Anlage 1 und für keinen anderen Zweck zu verarbeiten;

2. Kundendaten nicht zu verkaufen oder weiterzugeben (“sell” oder “share” im Sinne des CCPA);

3. Kundendaten nicht außerhalb der unmittelbaren Geschäftsbeziehung mit Ihnen aufzubewahren, zu nutzen oder offenzulegen, auch nicht für zielgerichtete oder kontextübergreifende verhaltensbasierte Werbung;

4. Kundendaten nicht mit personenbezogenen Informationen zu kombinieren, die wir von oder im Auftrag einer anderen Person erhalten oder aus unseren eigenen Interaktionen mit Verbrauchern erheben, soweit US-Datenschutzgesetze dies nicht erlauben;

5. die anwendbaren US-Datenschutzgesetze einzuhalten und das darin vorgeschriebene Datenschutzniveau zu gewährleisten;

6. Sie zu benachrichtigen, wenn wir feststellen, dass wir unsere Pflichten nach den US-Datenschutzgesetzen nicht mehr erfüllen können;

7. Ihnen zu gestatten, angemessene Maßnahmen zu ergreifen, um sicherzustellen, dass wir Kundendaten im Einklang mit Ihren Pflichten verwenden, und eine unbefugte Verwendung zu unterbinden und zu beheben, einschließlich über die Informations- und Kontrollrechte nach Abschnitt 13;

8. Unterauftragsverarbeiter nur auf Grundlage eines schriftlichen Vertrags mit denselben Pflichten zu beauftragen und Sie gemäß Abschnitt 8 zu informieren;

9. Sie bei der Beantwortung von Anfragen von Verbrauchern gemäß Abschnitt 10 zu unterstützen;

10. Kundendaten bei Beendigung der Dienste gemäß Abschnitt 12 zu löschen oder zurückzugeben.

Wir bestätigen, dass wir die Beschränkungen dieses Zusatzes verstehen und einhalten werden.

Geschützte Gesundheitsinformationen nach HIPAA dürfen nur auf Grundlage eines gesonderten Business Associate Agreement verarbeitet werden (Abschnitt 5.2).