Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO

Stand: 6. November 2026 · Version 1.1 · Rahmenvereinbarung der Males GmbH für boovis, Shiftnix, Vocaria/Stellenlink, social.boovis.com, StarPitch und app-for-teams

Diese Vereinbarung konkretisiert die Pflichten aus Art. 28 DSGVO für alle Leistungen, bei denen die Males GmbH personenbezogene Daten im Auftrag ihrer Kunden verarbeitet. Sie ergänzt den jeweiligen Hauptvertrag (Angebot, Auftragsbestätigung, Wartungs- oder Nutzungsvertrag) und die Allgemeinen Geschäftsbedingungen.

Vertragsparteien

Verantwortlicher (nachfolgend „Auftraggeber“) ist der Kunde, der die Leistung beauftragt hat. Name, Anschrift und Ansprechpartner ergeben sich aus dem Hauptvertrag oder aus Anlage 1.

Auftragsverarbeiter (nachfolgend „Auftragnehmer“) ist die

Males GmbH
Vilsendorfer Straße 64
33739 Bielefeld, Deutschland
Handelsregister: Amtsgericht Bielefeld, HRB 46478
Vertreten durch: Ricki Males
USt-IdNr.: DE362960598
Kontakt in Datenschutzfragen: info@males.de, Telefon 05206 927 80 37

Die Males GmbH tritt am Markt unter den Marken boovis (Agentur- und Marketingleistungen), Shiftnix (Schichtplanung), Vocaria/Stellenlink (Recruiting), social.boovis.com (Beitragsverteilung), StarPitch (Videoversand) und app-for-teams (Netzwerk-App) auf. Diese Vereinbarung gilt für alle, sofern der Hauptvertrag nichts Abweichendes regelt.

§ 1 Gegenstand, Dauer und Rangfolge

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Gegenstand, Art, Zweck, Datenarten und Kreis der betroffenen Personen ergeben sich aus Anlage 1.

(2) Die Vereinbarung gilt für die Laufzeit des Hauptvertrags. Sie endet ohne gesonderte Kündigung mit dessen Beendigung; die Pflichten aus § 12 bestehen darüber hinaus fort.

(3) Bei Widersprüchen gilt die Rangfolge: diese Vereinbarung, dann der Hauptvertrag, dann die Allgemeinen Geschäftsbedingungen. Weisungen des Auftraggebers nach § 3 gehen vor, soweit sie rechtlich zulässig sind.

(4) Diese Vereinbarung kommt zustande, ohne dass es einer Unterschrift bedarf. Sie wird Bestandteil des Hauptvertrags, sobald der Auftraggeber ein Angebot des Auftragnehmers annimmt, einen Auftrag erteilt oder die Leistung in Anspruch nimmt, sofern im Angebot oder in der Auftragsbestätigung auf diese Vereinbarung hingewiesen wurde. Art. 28 Abs. 9 DSGVO lässt den Abschluss in einem elektronischen Format ausdrücklich zu. Eine gesondert unterzeichnete Ausfertigung stellt der Auftragnehmer auf Wunsch zur Verfügung.

(5) Weisungsbefugt ist die im Hauptvertrag benannte Person; ist keine benannt, gilt die Person, die den Auftrag erteilt hat. Meldungen nach § 6 gehen an die im Hauptvertrag hinterlegte E-Mail-Adresse des Auftraggebers.

(6) Welche Variante der Anlage 1 gilt, richtet sich nach der beauftragten Leistung. Werden weitere Leistungen beauftragt, erweitert sich die Vereinbarung ohne erneuten Abschluss um die entsprechende Variante.

(7) Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums statt, soweit § 13 nichts anderes bestimmt.

§ 2 Verantwortlichkeit des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Betroffenenrechte allein verantwortlich. Er benennt eine weisungsbefugte Person und teilt einen Wechsel unverzüglich mit.

(2) Der Auftraggeber stellt sicher, dass für die von ihm übermittelten oder im System erfassten Daten eine Rechtsgrundlage besteht, und informiert die betroffenen Personen, soweit er dazu verpflichtet ist.

(3) Stellt der Auftraggeber Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er den Auftragnehmer unverzüglich.

§ 3 Weisungsrecht

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Weisungen erfolgen in Textform, insbesondere per E-Mail, oder über die im jeweiligen System vorgesehenen Funktionen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Ausführung auszusetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

(4) Die üblichen Konfigurations- und Bedienhandlungen, die der Auftraggeber selbst im System vornimmt, gelten als Weisung.

(5) Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, behandelt der Auftragnehmer als Antrag auf Leistungsänderung. Ihre Umsetzung setzt eine Einigung über Inhalt und Vergütung voraus.

§ 4 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet die Daten nur zu den in Anlage 1 genannten Zwecken und nutzt sie nicht für eigene Zwecke.

(2) Er hält die technischen und organisatorischen Maßnahmen nach Anlage 2 ein und überprüft sie regelmäßig.

(3) Alle Personen, die Zugang zu den Daten haben, sind auf Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus. Eine Mustererklärung liegt als Anlage 4 bei.

(4) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und bei der Zusammenarbeit mit Aufsichtsbehörden, soweit dies erforderlich ist und dem Auftragnehmer Informationen vorliegen.

(5) Der Auftragnehmer benennt info@males.de als Kontaktstelle für Datenschutzfragen. Ein Datenschutzbeauftragter ist nicht bestellt; die gesetzlichen Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG werden fortlaufend geprüft.

(6) Der Auftragnehmer führt ein Verzeichnis aller Verarbeitungstätigkeiten, die er im Auftrag des Auftraggebers ausführt, und stellt es diesem auf Anforderung zur Verfügung.

(7) Werden die Daten des Auftraggebers beim Auftragnehmer durch Pfändung, Beschlagnahme, ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Maßnahmen Dritter gefährdet, informiert der Auftragnehmer den Auftraggeber unverzüglich. Er weist alle Beteiligten darauf hin, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber liegen.

§ 5 Betroffenenrechte

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst, es sei denn, der Auftraggeber hat ihn dazu angewiesen.

(3) Soweit der Auftragnehmer für die Unterstützung Aufwand betreiben muss, der über die Bereitstellung der im System vorhandenen Export-, Berichtigungs- und Löschfunktionen hinausgeht, wird dieser nach dem im Hauptvertrag vereinbarten Stundensatz vergütet.

§ 6 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, spätestens jedoch innerhalb von 48 Stunden. Die Meldung erfolgt per E-Mail an die im Hauptvertrag benannte Adresse und zusätzlich telefonisch, wenn nach Einschätzung des Auftragnehmers ein hohes Risiko besteht.

(2) Die Meldung enthält, soweit bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie eine Kontaktstelle.

(3) Liegen noch nicht alle Informationen vor, meldet der Auftragnehmer zunächst den bekannten Sachverhalt und ergänzt ihn unverzüglich. Die Meldung an die Aufsichtsbehörde und an die betroffenen Personen obliegt dem Auftraggeber.

(4) Der Auftragnehmer dokumentiert jeden Vorfall einschließlich der ergriffenen Maßnahmen und stellt die Dokumentation dem Auftraggeber zur Verfügung.

§ 7 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, die in Anlage 3 aufgeführten Unterauftragsverarbeiter einzusetzen.

(2) Der Auftragnehmer informiert den Auftraggeber in Textform, bevor er einen weiteren Unterauftragsverarbeiter hinzuzieht oder einen bestehenden ersetzt. Der Auftraggeber kann der Änderung innerhalb von 14 Tagen nach Zugang der Information aus einem wichtigen datenschutzrechtlichen Grund widersprechen.

(3) Widerspricht der Auftraggeber, sucht der Auftragnehmer nach einer zumutbaren Alternative. Ist eine solche nicht verfügbar und kann die Leistung ohne den Unterauftragsverarbeiter nicht erbracht werden, sind beide Parteien berechtigt, den betroffenen Leistungsteil mit einer Frist von einem Monat zu kündigen.

(4) Der Auftragnehmer schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem dieselben Datenschutzpflichten auferlegt, die ihn selbst treffen. Er bleibt dem Auftraggeber gegenüber für deren Verhalten verantwortlich.

(5) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, bei denen kein Zugriff auf personenbezogene Daten des Auftraggebers besteht, etwa Telekommunikation, Post, Reinigung oder die Prüfung technischer Einrichtungen.

§ 8 KI-gestützte Verarbeitung

(1) Der Auftragnehmer setzt bei der Leistungserbringung Systeme künstlicher Intelligenz ein, insbesondere zur Erstellung und Prüfung von Quellcode, Texten und Auswertungen. Die dabei genutzten Anbieter sind in Anlage 3 gesondert gekennzeichnet.

(2) Der Auftragnehmer setzt ausschließlich Zugänge ein, bei denen der Anbieter vertraglich zusichert, die übermittelten Inhalte nicht zum Training seiner Modelle zu verwenden, und bei denen ein Auftragsverarbeitungsvertrag oder ein gleichwertiges Data Processing Addendum besteht. Kostenlose Endkundenzugänge werden für Daten des Auftraggebers nicht verwendet.

(3) Der Auftragnehmer beschränkt die an KI-Systeme übermittelten Daten auf das für die jeweilige Aufgabe erforderliche Maß. Vollständige Bestände mit Personenbezug, insbesondere Kunden-, Bewerber- und Mitarbeiterlisten, werden nicht übermittelt; die Verarbeitung solcher Dateien erfolgt lokal oder auf den Systemen des Auftragnehmers.

(4) Automatisierte Entscheidungen im Sinne des Art. 22 DSGVO trifft der Auftragnehmer nicht. Ergebnisse von KI-Systemen werden vor Verwendung durch einen Menschen geprüft.

(5) Sollen Bildnisse oder Stimmen identifizierbarer Personen durch KI-Systeme verarbeitet werden, etwa für Videoproduktionen, geschieht dies nur nach vorheriger schriftlicher Einwilligung der betroffenen Person. Der Auftragnehmer stellt dem Auftraggeber dafür eine Vorlage bereit.

(6) Der Auftraggeber kann den Einsatz von KI-Systemen für seine Daten jederzeit in Textform untersagen. Der Auftragnehmer teilt ihm in diesem Fall mit, welche Leistungen dadurch entfallen oder sich verteuern.

§ 9 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie anpassen, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber auf Anfrage mit.

(3) Der Auftragnehmer stellt sicher, dass Daten verschiedener Auftraggeber logisch getrennt verarbeitet werden.

§ 10 Nachweise und Kontrollen

(1) Der Auftragnehmer weist die Einhaltung seiner Pflichten auf Anfrage nach, insbesondere durch die Vorlage dieser Vereinbarung samt Anlagen, durch eine schriftliche Selbstauskunft und durch Nachweise der eingesetzten Unterauftragsverarbeiter.

(2) Der Auftraggeber kann darüber hinaus eine Überprüfung vor Ort verlangen. Sie ist mit einer Frist von 14 Tagen anzukündigen, findet während der üblichen Geschäftszeiten statt und darf den Betrieb nicht unverhältnismäßig stören. Ohne besonderen Anlass ist sie auf eine Prüfung je Kalenderjahr beschränkt.

(3) Bei einem konkreten Anlass, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten oder auf Verlangen einer Aufsichtsbehörde, ist eine Prüfung jederzeit und kurzfristig zulässig.

(4) Der Auftraggeber trägt die Kosten seiner Prüfung. Für den Aufwand des Auftragnehmers, der über die Bereitstellung vorhandener Unterlagen hinausgeht, gilt § 5 Abs. 3 entsprechend; bei einer anlassbezogenen Prüfung nach Absatz 3, deren Anlass der Auftragnehmer zu vertreten hat, entfällt die Vergütung.

(5) Prüfer, die zum Auftraggeber im Wettbewerb stehen, kann der Auftragnehmer ablehnen. Jede prüfende Person ist zur Verschwiegenheit zu verpflichten.

§ 11 Ort der Verarbeitung

(1) Die Verarbeitung erfolgt an den in Anlage 3 genannten Orten. Die Systeme des Auftragnehmers werden in Rechenzentren in Deutschland betrieben.

(2) Der Auftragnehmer verarbeitet Daten zusätzlich an seinem Geschäftssitz und auf dort betriebenen Arbeits- und Sicherungsgeräten. Diese unterliegen den Maßnahmen nach Anlage 2.

§ 12 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags gibt der Auftragnehmer die verarbeiteten Daten auf Wahl des Auftraggebers heraus oder löscht sie.

(2) Der Auftraggeber teilt seine Wahl innerhalb von 30 Tagen nach Vertragsende mit. Die Herausgabe erfolgt in einem gängigen maschinenlesbaren Format, in der Regel als CSV- oder SQL-Export. Trifft der Auftraggeber keine Wahl, löscht der Auftragnehmer die Daten nach Ablauf dieser Frist.

(3) Die Löschung im Produktivsystem erfolgt innerhalb von 30 Tagen nach Vertragsende oder nach Mitteilung der Wahl. Daten in turnusmäßigen Sicherungen werden nicht gesondert herausgelöscht; sie werden mit dem Auslaufen des jeweiligen Sicherungsbestands gelöscht, spätestens 90 Tage nach Vertragsende. Bis dahin bleiben sie den Maßnahmen dieser Vereinbarung unterworfen und werden ausschließlich zur Wiederherstellung im Störungsfall verwendet.

(4) Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, sowie Daten, für die gesetzliche Aufbewahrungspflichten bestehen, insbesondere nach Handels- und Steuerrecht, darf der Auftragnehmer über das Vertragsende hinaus aufbewahren. Er verarbeitet sie ausschließlich zu diesem Zweck.

(5) Kopien oder Duplikate der Daten erstellt der Auftragnehmer nicht ohne Wissen des Auftraggebers. Ausgenommen sind Sicherungskopien, soweit sie für einen ordnungsgemäßen Betrieb erforderlich sind, sowie Daten, die zur Einhaltung gesetzlicher Aufbewahrungspflichten benötigt werden.

(6) Der Auftragnehmer bestätigt die Löschung auf Anforderung in Textform.

§ 13 Übermittlung in Drittländer

(1) Eine Übermittlung in ein Land außerhalb der EU oder des EWR findet nur statt, soweit sie in Anlage 3 ausgewiesen ist oder der Auftraggeber sie angewiesen hat.

(2) Für jede solche Übermittlung liegt eine Grundlage nach Kapitel V DSGVO vor, insbesondere ein Angemessenheitsbeschluss der Europäischen Kommission oder die Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914, jeweils einschließlich der erforderlichen ergänzenden Maßnahmen.

(3) Der Auftragnehmer legt die jeweilige Grundlage auf Anforderung offen.

§ 14 Haftung

(1) Für die Haftung der Parteien untereinander gelten die Regelungen des Hauptvertrags und der Allgemeinen Geschäftsbedingungen.

(2) Im Außenverhältnis gilt Art. 82 DSGVO. Die Parteien stellen sich im Innenverhältnis nach dem jeweiligen Verantwortungsanteil frei.

(3) Die Haftungsbeschränkungen gelten nicht bei Vorsatz und grober Fahrlässigkeit sowie bei der Verletzung von Leben, Körper und Gesundheit.

§ 15 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

(2) Die Anlagen sind Bestandteil dieser Vereinbarung. Anlage 3 kann der Auftragnehmer nach dem Verfahren des § 7 Abs. 2 aktualisieren.

(3) Ist eine Bestimmung unwirksam, bleibt die Vereinbarung im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Bielefeld, soweit der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Anlage 1 – Gegenstand der Verarbeitung

Maßgeblich ist der Abschnitt, der der beauftragten Leistung entspricht. Werden mehrere Leistungen beauftragt, gelten die jeweiligen Abschnitte nebeneinander.

A) Agentur- und Marketingleistungen (boovis)

Gegenstand: Erstellung, Pflege und Betreuung von Websites und Onlineshops, Betreuung von Google-Unternehmensprofilen, Betreuung von Werbe- und Analysekonten des Auftraggebers, Erstellung von Inhalten, Einrichtung und Betrieb von Formular- und Terminfunktionen, Bereitstellung von Analyse- und Abnahmewerkzeugen.

Art der Verarbeitung: Erheben, Speichern, Ändern, Auslesen, Übermitteln, Löschen; Zugriff auf Systeme und Konten des Auftraggebers zu Wartungs- und Optimierungszwecken.

Zweck: Erbringung der vertraglich vereinbarten Leistungen.

Kategorien betroffener Personen: Websitebesucher, Interessenten und Kunden des Auftraggebers, Ansprechpartner des Auftraggebers, Verfasser von Bewertungen, Empfänger von Nachrichten.

Kategorien personenbezogener Daten: Bestandsdaten (Name, Anschrift), Kontaktdaten (E-Mail, Telefon), Inhaltsdaten aus Formularen und Nachrichten, Nutzungs- und Metadaten (IP-Adresse, Zeitstempel, Seitenaufrufe), Terminbuchungen, Bewertungsinhalte, bei Werbekonten Zielgruppen- und Leaddaten.

Besondere Kategorien nach Art. 9 DSGVO: nicht Gegenstand des Auftrags; ihre Übermittlung ist vom Auftraggeber zu unterlassen, soweit nicht ausdrücklich abweichend vereinbart.

B) Schichtplanung (Shiftnix)

Gegenstand: Bereitstellung und Betrieb der Software zur Personal- und Einsatzplanung einschließlich Zeiterfassung, Anwesenheitsmeldung und Benachrichtigungen.

Art der Verarbeitung: Erheben, Speichern, Ändern, Auslesen, Übermitteln, Löschen; automatisierte Erinnerungen und Alarme.

Zweck: Planung und Dokumentation von Personaleinsätzen des Auftraggebers.

Kategorien betroffener Personen: Beschäftigte des Auftraggebers, Subunternehmer und deren Personal, Ansprechpartner an Einsatzorten.

Kategorien personenbezogener Daten: Stammdaten (Name, Personalnummer, Anschrift), Kontaktdaten einschließlich Mobilfunknummer, Qualifikationen und Einsatzberechtigungen, Dienst- und Schichtzeiten, Anwesenheits- und Zeiterfassungsdaten, Abwesenheiten, hochgeladene Dokumente, Protokolldaten zu Anmeldungen und Änderungen, bei telefonischer Anwesenheitsmeldung die anrufende Rufnummer.

Hinweis: Die Verarbeitung von Beschäftigtendaten kann der Mitbestimmung unterliegen. Der Auftraggeber verantwortet die Beteiligung eines vorhandenen Betriebsrats.

C) Recruiting (Vocaria / Stellenlink)

Gegenstand: Bereitstellung und Betrieb der Software für Bewerbungsfunnel, Stellenanzeigen und Bewerberkommunikation einschließlich des Versands von Nachrichten über ein Postfach des Auftraggebers.

Art der Verarbeitung: Erheben, Speichern, Ändern, Auslesen, Übermitteln, Löschen; automatisierter Versand von Benachrichtigungen; Auswertung von Seitenaufrufen der Funnel.

Zweck: Durchführung von Bewerbungsverfahren des Auftraggebers.

Kategorien betroffener Personen: Bewerberinnen und Bewerber, Beschäftigte des Auftraggebers mit Zugang zum System, Ansprechpartner von Endkunden des Auftraggebers.

Kategorien personenbezogener Daten: Bestands- und Kontaktdaten, Angaben aus Bewerbungsformularen, hochgeladene Unterlagen wie Lebenslauf und Zeugnisse, Kommunikationsverläufe, Status im Verfahren, Nutzungs- und Protokolldaten einschließlich IP-Adresse.

Besondere Kategorien nach Art. 9 DSGVO: Bewerbungsunterlagen können unaufgefordert Angaben etwa zu Gesundheit, Schwerbehinderung oder Religionszugehörigkeit enthalten. Der Auftragnehmer verarbeitet sie ausschließlich als Bestandteil der Unterlagen und trifft dafür die Maßnahmen nach Anlage 2.

D) Beitragsverteilung über soziale Netzwerke (social.boovis.com)

Gegenstand: Bereitstellung und Betrieb der Plattform, über die der Auftraggeber Inhalte per E-Mail oder Nachrichtendienst einreicht, die Plattform daraus je Zielkanal einen Beitrag erzeugt und ihn über das Verteilkonto des Auftraggebers in dessen sozialen Netzwerken veröffentlicht.

Art der Verarbeitung: Entgegennahme, Speichern, Auslesen, KI-gestützte Aufbereitung, Übermitteln an das Verteilkonto, Löschen; automatisierte Wiederholungsveröffentlichungen nach Zeitplan.

Zweck: Veröffentlichung der vom Auftraggeber eingereichten Inhalte in dessen eigenen Kanälen.

Kategorien betroffener Personen: Beschäftigte des Auftraggebers mit Zugang zur Plattform, Absender eingehender Nachrichten, in den Inhalten genannte oder abgebildete Personen.

Kategorien personenbezogener Daten: Zugangs- und Kontodaten, die zugeteilte Einreichungsadresse, hinterlegte Rufnummer für den Nachrichtendienst, Inhalte der eingereichten Nachrichten samt Bild- und Videoanhängen, die daraus erzeugten Beitragstexte, Versand- und Protokolldaten, Kennungen des Verteilkontos.

Hinweis: Eingereichte Inhalte werden zur Texterstellung an das in Anlage 3 genannte KI-System und zur Veröffentlichung an den Verteildienst übermittelt. Enthalten Inhalte Bildnisse identifizierbarer Personen, gilt § 8 Abs. 5.

E) Videoversand mit Aufrufmessung (StarPitch)

Gegenstand: Bereitstellung und Betrieb der Plattform, über die der Auftraggeber Videos an benannte Empfänger versendet und über den Abruf benachrichtigt wird.

Art der Verarbeitung: Erheben, Speichern, Auslesen, Übermitteln, Löschen; Messung von Abrufereignissen; automatisierte Benachrichtigung des Auftraggebers.

Zweck: Zustellung der Videos und Rückmeldung an den Auftraggeber, ob und wie lange ein Empfänger sie angesehen hat.

Kategorien betroffener Personen: Empfänger der Videolinks, Beschäftigte des Auftraggebers mit Zugang, in den Videos abgebildete Personen.

Kategorien personenbezogener Daten: Bezeichnung und Kontaktdaten der Empfänger, soweit vom Auftraggeber erfasst, Videoinhalte, Abrufereignisse mit Zeitpunkt und Dauer, technische Verbindungsdaten, Einwilligungsstatus des Empfängers, Benachrichtigungsadressen.

Hinweis: Die Aufrufmessung findet nur statt, wenn der Empfänger im Hinweisfenster der Abrufseite eingewilligt hat. Ohne Einwilligung wird das Video ausgeliefert, ohne dass ein Abrufereignis gespeichert oder gemeldet wird.

F) Netzwerk-App für Unternehmernetzwerke, Business-Clubs und Vereine (app-for-teams)

Gegenstand: Bereitstellung und Betrieb der mandantenfähigen Software, mit der der Auftraggeber sein Netzwerk organisiert: Verwaltung der Mitglieder, Erfassung und Bestätigung von Empfehlungen, 1:1-Gesprächen, Umsätzen und eigenen Aktivitäten, Gesuche, Treffen mit An- und Abmeldung, Gäste, Punkte, Mitgliedsbeiträge und Auswertungen nach den Regeln des Netzwerks, Dokumentenablage, öffentliches Mitgliederverzeichnis sowie Benachrichtigungen per E-Mail, als Mitteilung auf das Gerät und, sofern beauftragt, über WhatsApp. Die Anwendung ist unter app.app-for-teams.com, unter einer Unteradresse des Netzwerks bei app-for-teams.com oder unter einer eigenen Domain des Auftraggebers erreichbar.

Art der Verarbeitung: Erheben, Speichern, Ändern, Auslesen, Abgleichen, Übermitteln an Mitglieder des Netzwerks nach dessen Sichtbarkeitsregeln, Veröffentlichen im Mitgliederverzeichnis nach Einwilligung des Mitglieds, Anonymisieren, Löschen; Import von Mitgliederlisten; automatisierte Erinnerungen, Nachfragen und Vorschläge nach festen Regeln; Berechnung von Kennzahlen und Punkteständen; Prüfung hochgeladener Dateien auf Schadsoftware.

Zweck: Organisation des Netzwerks des Auftraggebers und Vermittlung von Kontakten und Aufträgen zwischen seinen Mitgliedern.

Kategorien betroffener Personen: Mitglieder des Netzwerks, Betreiber und weitere Personen mit Verwaltungszugang, Gäste der Treffen, Vertretungen bei Treffen, Dritte, die in Empfehlungen oder Gesuchen als Kontakt genannt werden.

Kategorien personenbezogener Daten: Stamm- und Profildaten (Name, Firma, Branche, Leistungen, Angaben „Wen ich gerade suche“ und „Über mich“, Rolle, Gruppen und Funktionen, Mitgliedsstatus, Eintritts- und Austrittsdatum), Kontaktdaten (E-Mail-Adresse, Telefonnummer), Empfehlungen, 1:1-Gespräche, Gesuche und eigene Aktivitäten mit Status und Verlauf, gemeldete Umsatzbeträge, Kontaktdaten Dritter in Empfehlungen (Name, Firma, Telefon, E-Mail, Anliegen), Teilnahme, Abmeldung und Anwesenheit bei Treffen, Punkte und Mitgliedsbeiträge, Angaben von Gästen (Name, Firma, Branche, Kontaktdaten, Zeitpunkt der Einwilligung), Vermerke der Netzwerkleitung zu Mitgliedern, hochgeladene Dokumente, Einwilligungen mit Zeitpunkt, Geräteadressen für Mitteilungen, Versandprotokolle ohne Nachrichteninhalt, Anmelde- und Sicherheitsprotokolle mit Zeitpunkt, IP-Adresse und Browserkennung, bei Personen mit Verwaltungszugang das Geheimnis der Zwei-Faktor-Anmeldung.

Besondere Kategorien nach Art. 9 DSGVO: nicht Gegenstand des Auftrags. Freitextfelder, Vermerke und Dokumente sind nicht für solche Angaben bestimmt; ihre Erfassung ist vom Auftraggeber zu unterlassen.

Hinweis: Wer welche Angaben sieht, legt der Auftraggeber in den Einstellungen fest. Einzelne Umsatzbeträge und Kontaktdaten Dritter sind in der Grundeinstellung nur den Beteiligten und dem Betreiber zugänglich; die Anwendung setzt das serverseitig durch. Die Daten verschiedener Netzwerke sind in der Datenbank durch Zeilenschutz (Row Level Security) getrennt. Die Anmeldung erfolgt ohne Passwort über einmal verwendbare Links; die Zwei-Faktor-Anmeldung ist für die Plattformverwaltung verpflichtend und für Betreiber in der Grundeinstellung verpflichtend. Hochgeladene Dateien werden auf dem Server des Auftragnehmers auf Schadsoftware geprüft, ohne an Dritte übermittelt zu werden. Im Mitgliederverzeichnis erscheinen nur Mitglieder, die im Profil eingewilligt haben, und nur die von ihnen gewählten Angaben. Nachrichten über WhatsApp erhält ein Mitglied nur mit seiner Einwilligung; sie laufen über eine Vermittlungsstelle auf dem Server des Auftragnehmers an den in Anlage 3 genannten Anbieter. KI-Systeme werden in der Anwendung auf Daten des Auftraggebers nicht eingesetzt. Tritt ein Mitglied aus, werden seine Personenangaben nach 30 Tagen, auf Weisung sofort, anonymisiert. Sicherungen entstehen zweimal täglich auf dem Server und werden täglich auf ein Sicherungsgerät in den Geschäftsräumen des Auftragnehmers sowie verschlüsselt an den in Anlage 3 genannten Speicheranbieter übertragen. Die Herausgabe nach § 12 erfolgt als ZIP-Archiv mit CSV-Dateien je Tabelle und den hochgeladenen Dokumenten; der Betreiber kann sie jederzeit selbst abrufen. Für die Registrierung eines neuen Netzwerks, für die Konten der Plattformverwaltung und für Anmeldeversuche, die keinem Netzwerk zugeordnet werden können, ist der Auftragnehmer selbst Verantwortlicher; sie sind nicht Gegenstand dieser Variante.

Dauer der Verarbeitung

Die Verarbeitung dauert an, solange der Hauptvertrag besteht. Löschung und Rückgabe richten sich nach § 12.

Anlage 2 – Technische und organisatorische Maßnahmen

Stand: 6. November 2026. Die Maßnahmen gelten für die vom Auftragnehmer betriebenen Systeme und für die zur Leistungserbringung genutzten Arbeits- und Sicherungsgeräte.

1. Vertraulichkeit

Zutrittskontrolle: Die Server werden in Rechenzentren in Deutschland betrieben, deren Betreiber Zutrittskontrollen, Videoüberwachung und Besucherprotokolle unterhalten. Arbeits- und Sicherungsgeräte des Auftragnehmers stehen in abschließbaren Geschäftsräumen, zu denen ausschließlich die Geschäftsführung Zutritt hat.

Zugangskontrolle: Der administrative Zugang zu den Servern erfolgt ausschließlich über verschlüsselte Verbindungen mit persönlichen Zugangsdaten. Ein FTP-Zugang zu den Anwendungsservern besteht nicht; Dateiübertragungen erfolgen über SFTP oder SSH. Der Zugang zu Teilen der Infrastruktur ist zusätzlich auf ein privates Netz (VPN) beschränkt. Arbeitsgeräte sind mit vollständiger Festplattenverschlüsselung (FileVault) gesichert und sperren den Bildschirm spätestens nach 15 Minuten Inaktivität. Zugangsdaten werden nicht in Umgebungsvariablen, sondern als eigens geschützte Dateien (Docker-Secrets) vorgehalten.

Zugriffskontrolle: Die Anwendungen verfügen über ein Rollen- und Rechtekonzept. Benutzer sehen und bearbeiten nur die Daten, für die ihre Rolle vorgesehen ist. Verwaltungsfunktionen sind gesonderten Rollen vorbehalten. Für Teile der Anwendungen ist eine Zwei-Faktor-Anmeldung verfügbar.

Trennungskontrolle: Daten verschiedener Auftraggeber werden logisch getrennt verarbeitet, teils über eine Mandantenkennung in der Datenbank, bei Shiftnix und app-for-teams zusätzlich durch Zeilenschutz auf Datenbankebene (Row Level Security), teils über je Auftraggeber getrennte Anwendungsinstanzen. Produktiv- und Testsysteme sind voneinander getrennt; Regressionstests laufen ausschließlich gegen eine eigene Testinstanz.

Pseudonymisierung: Wo die Aufgabe es zulässt, werden Auswertungen ohne Personenbezug oder mit gekürzten Kennungen durchgeführt.

2. Integrität

Weitergabekontrolle: Sämtliche Web- und Anwendungszugänge sind mit TLS verschlüsselt; die Zertifikate werden automatisiert erneuert. Der Versand von E-Mails erfolgt über authentifizierte Relays; die Absenderdomains sind mit SPF- und DKIM-Einträgen abgesichert.

Eingabekontrolle: Schreibende Vorgänge in den Anwendungen werden mit Zeitpunkt und handelndem Benutzer protokolliert. Die Protokolle sind für berechtigte Personen des Auftraggebers einsehbar.

Schutz vor Schadsoftware: Im Recruiting-System und in app-for-teams werden hochgeladene Dateien vor der Ablage automatisiert auf Schadsoftware geprüft. Die Systeme werden regelmäßig mit Sicherheitsaktualisierungen versorgt.

3. Verfügbarkeit und Belastbarkeit

Sicherung: Von Anwendungsdaten und Datenbanken werden automatisiert Sicherungen erstellt, für die Produktivsysteme mehrfach täglich, zusätzlich täglich auf ein zweites, räumlich getrenntes Speichermedium. Kopien bei einem Speicheranbieter werden vor der Übertragung verschlüsselt; der Schlüssel liegt ausschließlich beim Auftragnehmer. Sicherungsgeräte in den Geschäftsräumen des Auftragnehmers sind vollständig verschlüsselt. Zugangsdaten und Schlüssel werden nur mitgesichert, soweit eine vollständige Wiederherstellung es erfordert; außerhalb des Servers liegen sie dann ausschließlich in verschlüsselten Archiven oder auf vollständig verschlüsselten Datenträgern.

Wiederherstellung: Die Sicherungen umfassen Anwendungsstand und Datenbank und erlauben die Wiederherstellung eines vollständigen Systemzustands.

Überwachung: Ein Monitoring prüft die Erreichbarkeit der Dienste, den Zustand der Container, den Ablauf der geplanten Aufgaben und die verbleibende Speicherkapazität und meldet Abweichungen automatisch per E-Mail mit Dringlichkeitsstufe.

Netzwerkschutz: Die Server sind durch eine vorgeschaltete Firewall des Rechenzentrumsbetreibers abgesichert, die nur die benötigten Ports freigibt. Wiederholt fehlgeschlagene Anmeldeversuche führen zu automatischen Sperren der Herkunftsadresse.

4. Verfahren zur Überprüfung und Bewertung

Auftragskontrolle: Unterauftragsverarbeiter werden nach Anlage 3 ausgewählt, vertraglich verpflichtet und in ihrer Eignung geprüft.

Vorfallsmanagement: Sicherheitsvorfälle werden dokumentiert, bewertet und nach § 6 gemeldet.

Datenschutz durch Technikgestaltung: Neue Funktionen werden vor der Freigabe auf Datensparsamkeit, Rechteprüfung und Löschbarkeit geprüft. Auslieferungen erfolgen versioniert und sind rückholbar.

Organisatorisches: Alle Personen mit Zugang zu Auftraggeberdaten sind schriftlich zur Vertraulichkeit verpflichtet. Zum Stand dieser Anlage ist dies ausschließlich die Geschäftsführung des Auftragnehmers.

Anlage 3 – Unterauftragsverarbeiter

Stand: 6. November 2026. Der Auftraggeber genehmigt den Einsatz der folgenden Unterauftragsverarbeiter nach § 7 Abs. 1. Welche davon zum Einsatz kommen, richtet sich nach der beauftragten Leistung; nicht jeder Auftrag berührt jeden Eintrag. Mit „KI“ gekennzeichnete Anbieter fallen zusätzlich unter § 8.

Infrastruktur und Hosting

Anbieter	Leistung	Ort der Verarbeitung	Grundlage bei Drittland
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland	Betrieb der Server, Datenbanken und Sicherungen	Deutschland	entfällt
Backblaze, Inc., 201 Baldwin Avenue, San Mateo, CA 94401, USA	Ablage verschlüsselter Sicherungskopien außerhalb des Rechenzentrums (Varianten B und F); der Anbieter hat keinen Zugriff auf den Schlüssel	Region EU Central, Amsterdam, Niederlande; Übermittlung in die USA möglich	Standardvertragsklauseln nach dem Auftragsverarbeitungszusatz des Anbieters
InternetWerk GmbH, Frankenstr. 2A, 04932 Hirschfeld, Deutschland	Webhosting und E-Mail-Dienste des Auftragnehmers	Deutschland	entfällt
Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg	Versand von System- und Benachrichtigungs-E-Mails	Region Frankfurt, Deutschland	entfällt

Arbeits- und Kommunikationsumgebung

Anbieter	Leistung	Ort der Verarbeitung	Grundlage bei Drittland
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland	E-Mail, Kalender, Dateiablage, E-Mail-Relay sowie KI-Funktionen innerhalb der Arbeitsumgebung (KI)	EU, Übermittlung in die USA möglich	Standardvertragsklauseln nach dem Auftragsverarbeitungszusatz des Anbieters
Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland	Synchronisierung und Ablage von Projektdateien	EU, Übermittlung in die USA möglich	Standardvertragsklauseln nach dem Auftragsverarbeitungszusatz des Anbieters
Tailscale Inc., Toronto, Ontario, Kanada	Verschlüsselter Fernzugang zu Teilen der Infrastruktur; kein Zugriff auf Inhaltsdaten	Kanada	Angemessenheitsbeschluss der Europäischen Kommission für Kanada

Künstliche Intelligenz

Anbieter	Leistung	Ort der Verarbeitung	Grundlage bei Drittland
Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA	KI-gestützte Erstellung und Prüfung von Quellcode, Texten und Auswertungen (KI)	USA	Standardvertragsklauseln, Module 2 und 3, einbezogen über das Data Processing Addendum des Anbieters; vertraglicher Ausschluss der Nutzung zu Trainingszwecken
fal – Features & Labels, Inc., 2261 Market Street, Suite 10467, San Francisco, CA 94114, USA	Erzeugung von Bild-, Video- und Tonmaterial (KI)	USA	Standardvertragsklauseln nach dem Auftragsverarbeitungszusatz des Anbieters
De-Identification Ltd. (D-ID), 84 Hahashmonaim Street, Tel Aviv, Israel	Erzeugung von Avatar-Videos (KI)	Israel	Angemessenheitsbeschluss der Europäischen Kommission für Israel

Fachdienste

Anbieter	Leistung	Ort der Verarbeitung	Grundlage bei Drittland
Twilio Inc., 101 Spear Street, San Francisco, CA 94105, USA	Sprach- und Kurznachrichtendienste, etwa telefonische Anwesenheitsmeldung	USA, Vermittlung über europäische Anschlüsse	Standardvertragsklauseln, Module 2 und 3, einbezogen über das Data Protection Addendum des Anbieters
Theai, Inc. (Inworld AI), Mountain View, Kalifornien, USA	Sprachverarbeitung für telefonische Assistenzfunktionen in Echtzeit; keine Speicherung von Gesprächsinhalten (KI)	USA	Standardvertragsklauseln nach dem Auftragsverarbeitungszusatz des Anbieters
DataForSEO OU, Vesivärava tn 50-201, 10152 Tallinn, Estland	Abruf von Such-, Karten- und Verzeichnisdaten für Analysen	EU	entfällt
Apify Technologies s.r.o., Vodičkova 704/36, 110 00 Prag, Tschechien	Automatisierter Abruf öffentlich zugänglicher Profil- und Reichweitendaten	EU	entfällt
Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, Irland	Abwicklung von Zahlungen	EU, Übermittlung in die USA möglich	Standardvertragsklauseln nach dem Auftragsverarbeitungszusatz des Anbieters
dlvr.it, Inc., 4931 SW 76th Ave., Box 178, Portland, OR 97225, USA	Veröffentlichung von Beiträgen in den sozialen Netzwerken des Auftraggebers (nur Variante D)	USA	Der Auftraggeber unterhält das Verteilkonto selbst. Der Anbieter stellt derzeit weder einen Auftragsverarbeitungsvertrag noch Standardvertragsklauseln bereit; eine Anfrage des Auftragnehmers ist offen. Die Übermittlung erfolgt zur Erfüllung des Vertrags mit dem Auftraggeber, Art. 49 Abs. 1 lit. b DSGVO. Der Auftragnehmer weist ausdrücklich darauf hin und wird die Angabe berichtigen, sobald eine Grundlage nach Art. 46 DSGVO vorliegt.
Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland	Zustellung und Empfang von WhatsApp-Nachrichten über die WhatsApp Business Cloud API (Varianten D und F, nur bei beauftragtem WhatsApp-Kanal)	EU, Übermittlung in die USA möglich	Angemessenheitsbeschluss der Europäischen Kommission für die USA (EU-US Data Privacy Framework) für den zertifizierten Konzern sowie Standardvertragsklauseln nach den Datenverarbeitungsbedingungen des Anbieters
Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg, Deutschland	Rechnungsstellung und Buchhaltung	Deutschland	entfällt

Klarstellungen

(1) Greift der Auftragnehmer auf Konten zu, die der Auftraggeber selbst bei einem Plattformbetreiber unterhält, etwa Werbe-, Analyse- oder Unternehmensprofilkonten bei Google Ireland Limited oder Meta Platforms Ireland Limited, so besteht das datenschutzrechtliche Verhältnis zu diesem Betreiber unmittelbar zwischen ihm und dem Auftraggeber. Der Auftragnehmer handelt dort als Bevollmächtigter des Auftraggebers; der Plattformbetreiber ist insoweit kein Unterauftragsverarbeiter des Auftragnehmers.

(2) Unterhält der Auftraggeber den Hostingvertrag für seine Website selbst, so ist der betreffende Hostinganbieter Auftragsverarbeiter des Auftraggebers und nicht des Auftragnehmers. Der Auftragnehmer spielt in diesem Fall lediglich Dateien in die vom Auftraggeber bereitgestellte Umgebung ein und nutzt dafür dessen Zugangsdaten. Der Auftraggeber verantwortet den Vertrag mit seinem Hostinganbieter einschließlich der dort erforderlichen Vereinbarung nach Art. 28 DSGVO.

(3) Für die automatisierte Eintragung in Branchenverzeichnisse setzt der Auftragnehmer einen Dienst zur Auflösung von Bildrätseln (Captchas) ein. Übermittelt wird ausschließlich der Bildausschnitt des Rätsels ohne umgebende Formularinhalte. Personenbezogene Daten des Auftraggebers werden dabei nicht übermittelt; der Dienst ist deshalb nicht als Unterauftragsverarbeiter aufgeführt.

(4) Hinterlegt der Auftraggeber in app-for-teams für den Versand der E-Mails seines Netzwerks ein eigenes Postfach, etwa über einen eigenen Mailserver oder Microsoft 365, so ist der Anbieter dieses Postfachs Auftragsverarbeiter des Auftraggebers und nicht des Auftragnehmers. Der Auftraggeber verantwortet den Vertrag mit diesem Anbieter einschließlich der dort erforderlichen Vereinbarung nach Art. 28 DSGVO. Die Zugangsdaten werden verschlüsselt gespeichert. Ist das eigene Postfach nicht erreichbar, wird die E-Mail ersatzweise über den in Anlage 3 genannten Weg des Auftragnehmers versandt.

(5) Schaltet eine Person in Shiftnix oder app-for-teams Mitteilungen auf ihrem Gerät ein, werden diese über den Push-Dienst des von ihr genutzten Browsers oder Betriebssystems zugestellt. Der Inhalt wird vor der Übergabe Ende-zu-Ende verschlüsselt; der Push-Dienst erhält nur die Geräteadresse, den Zeitpunkt und die Größe der Mitteilung. Mit den Betreibern dieser Dienste besteht kein Vertrag des Auftragnehmers; sie sind deshalb nicht als Unterauftragsverarbeiter aufgeführt.

(6) Ein Verzeichnis der jeweils aktuellen Fassung dieser Anlage ist unter der im Kopf genannten Adresse abrufbar. Änderungen werden nach § 7 Abs. 2 mitgeteilt.

Anlage 4 – Muster einer Verpflichtung auf Vertraulichkeit

Diese Anlage ist eine Vorlage für Personen, die künftig Zugang zu Daten des Auftraggebers erhalten.

Verpflichtung auf Vertraulichkeit und auf das Datengeheimnis

Frau/Herr __________________________ wird im Rahmen ihrer/seiner Tätigkeit für die Males GmbH Zugang zu personenbezogenen Daten erhalten, die die Males GmbH im Auftrag ihrer Kunden verarbeitet.

Sie/Er verpflichtet sich,

• personenbezogene Daten ausschließlich im Rahmen der ihr/ihm erteilten Weisungen zu verarbeiten und sie nicht unbefugt zu erheben, zu verändern, zu übermitteln, zu sperren, zu löschen oder sonst zu nutzen,
• über alle ihr/ihm bekannt werdenden Daten und Geschäftsvorgänge Verschwiegenheit zu bewahren, auch gegenüber Familienangehörigen,
• Zugangsdaten geheim zu halten, nicht weiterzugeben und ausschließlich auf den dafür vorgesehenen Geräten zu verwenden,
• Unterlagen und Datenträger so aufzubewahren, dass Unbefugte keinen Zugriff erhalten, und sie bei Beendigung der Tätigkeit vollständig zurückzugeben oder zu löschen,
• jeden Verdacht auf eine Verletzung des Schutzes personenbezogener Daten unverzüglich der Geschäftsführung zu melden.

Die Verpflichtung gilt über das Ende der Tätigkeit hinaus. Ein Verstoß kann arbeits-, zivil- und strafrechtliche Folgen haben, insbesondere nach den §§ 42, 43 BDSG und § 202a StGB.

Ort, Datum: ____________________________ Unterschrift: ____________________________