Art. 28 DSGVO · Version 2026-05

Auftragsverarbeitungsvertrag

Vertragliche Grundlage für die Datenverarbeitung durch ClickCandit UG (haftungsbeschränkt) i.Gr.

Stand: 23. Mai 2026

Auftraggeber (Verantwortlicher)

Der Kunde (Sie), wie im Hauptvertrag bzw. in den Plattform-Nutzungsbedingungen identifiziert.

Vertretungsberechtigung wird im Account-Profil hinterlegt

Auftragnehmer (Auftragsverarbeiter)

ClickCandit UG (haftungsbeschränkt) i.Gr.

c/o Block Services

Stuttgarter Str. 106

70736 Fellbach

Deutschland

E-Mail: admin@clickcandit.com

Inhaltsverzeichnis

Präambel · Präambel § 1 · Gegenstand, Dauer und Beendigung des Auftrags § 2 · Art und Zweck der Verarbeitung § 3 · Art der personenbezogenen Daten § 4 · Kategorien betroffener Personen § 5 · Pflichten des Auftragnehmers § 6 · Pflichten und Weisungsbefugnis des Auftraggebers § 7 · Unterauftragsverarbeiter § 8 · Rechte der betroffenen Personen § 9 · Meldepflichten bei Verletzungen des Schutzes personenbezogener Daten § 10 · Nachweis-, Kontroll- und Auditrechte § 11 · Löschung und Rückgabe nach Beendigung des Auftrags § 12 · Haftung und Schlussbestimmungen Anlage 1 — TOM Anlage 2 — Unterauftragsverarbeiter Anlage 3 — Unterschriften

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag" oder „AVV") konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der zwischen ihnen abgeschlossenen Nutzungsvereinbarung über die SaaS-Plattform ClickCandit (nachfolgend „Hauptvertrag") ergeben. Er findet auf alle Tätigkeiten Anwendung, bei denen Beschäftigte des Auftragnehmers oder durch ihn beauftragte Dritte personenbezogene Daten des Auftraggebers im Sinne von Art. 4 Nr. 2 DSGVO verarbeiten.

Der Auftraggeber ist datenschutzrechtlich Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers und ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO. Die Parteien schließen diesen Vertrag zur Erfüllung der Anforderungen des Art. 28 DSGVO.

§ 1

Gegenstand, Dauer und Beendigung des Auftrags

(1)Gegenstand der Verarbeitung ist die Bereitstellung der SaaS-Plattform ClickCandit zur unternehmensweiten Verwaltung von Geschäftsprozessen (u. a. CRM, Buchhaltung, HR, Projektmanagement, Inventar, Dokumentenverwaltung, Kommunikation). Im Rahmen dieser Bereitstellung verarbeitet der Auftragnehmer personenbezogene Daten im Namen und auf Weisung des Auftraggebers.
(2)Die Dauer dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Der Vertrag endet automatisch mit der Beendigung des Hauptvertrages, ohne dass es einer gesonderten Kündigung bedarf.
(3)Eine außerordentliche Kündigung des Hauptvertrages und damit dieses Vertrages ist insbesondere zulässig, wenn der Auftragnehmer seine Pflichten aus diesem Vertrag nicht erfüllt, eine ihm erteilte rechtmäßige Weisung des Auftraggebers verletzt oder unter Verstoß gegen Art. 28 DSGVO Unterauftragsverarbeiter einsetzt.

§ 2

Art und Zweck der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt zum Zweck der vertragsgemäßen Erbringung der im Hauptvertrag vereinbarten Leistungen. Sie umfasst insbesondere folgende Verarbeitungstätigkeiten:

•Speicherung, Strukturierung und Aufbewahrung von Geschäftsdaten in der zentralen Datenbank (PostgreSQL bei Supabase, EU/Frankfurt)
•Bereitstellung von Authentifizierung und Zugriffsverwaltung (Single-Sign-On, Mehrfaktor-Authentifizierung, rollenbasierte Berechtigungen)
•Erbringung von Funktionalitäten zur Datenanalyse, Berichterstellung und Visualisierung (Business Intelligence, Dashboards, KPIs)
•Versand transaktionaler Nachrichten (E-Mail, Push-Benachrichtigungen, In-App-Benachrichtigungen) im Rahmen der Plattformnutzung
•Verarbeitung von Zahlungstransaktionen über das integrierte Kassen- und Stripe-Connect-Modul (sofern aktiviert)
•KI-Verarbeitung auf EU-Servern zur automatischen Belegerkennung, Textanalyse und Vorschlagsgenerierung
•Erstellung von Audit-Protokollen, Sicherheitsereignis-Logs und Datenexporten zur Erfüllung gesetzlicher Aufbewahrungs- und Nachweispflichten

Eine über diese Zwecke hinausgehende Verarbeitung – insbesondere zu eigenen Zwecken des Auftragnehmers – findet nicht statt.

§ 3

Art der personenbezogenen Daten

Im Rahmen der Auftragsdurchführung werden – abhängig von den vom Auftraggeber aktiv genutzten Modulen – insbesondere folgende Kategorien personenbezogener Daten verarbeitet:

•Stammdaten von Mitarbeitenden des Auftraggebers (Name, dienstliche Kontaktdaten, Personalnummer, Rolle, Abteilung)
•Beschäftigtendaten (Lohn- und Gehaltsdaten, Abrechnungen, Arbeitszeiten, Abwesenheiten, Qualifikationen, Performance-Beurteilungen, ELStAM, SV-Nummer)
•Bewerberdaten im Rahmen des Recruiting-Moduls (Lebenslauf, Anschreiben, Zeugnisse, Bewertungen)
•Kunden- und Interessentendaten (Name, Anschrift, E-Mail, Telefonnummer, Vertragshistorie, Kommunikationsverlauf)
•Lieferanten- und Geschäftspartnerdaten
•Vertrags- und Bestelldaten (Rechnungen, Angebote, Verträge, Aufträge, Buchungen)
•Finanzdaten (Bankverbindungen, Buchungsbelege, Steuerdaten, Zahlungstransaktionen)
•Inhaltsdaten von Dokumenten, Dateien, E-Mails, Nachrichten, Notizen und Wiki-Einträgen, die der Auftraggeber in der Plattform hinterlegt
•Nutzungs- und Protokolldaten (Login-Zeitpunkte, IP-Adressen zu Sicherheitszwecken, Audit-Trail-Einträge, Fehlermeldungen)

Besondere Kategorien personenbezogener Daten i. S. d. Art. 9 DSGVO (z. B. Gesundheitsdaten) können verarbeitet werden, soweit der Auftraggeber sie im Rahmen der HR-Module (z. B. Krankmeldungen, Reha) selbst in die Plattform einstellt. Der Auftraggeber ist verpflichtet, hierfür eine eigene Rechtsgrundlage sicherzustellen.

§ 4

Kategorien betroffener Personen

Von der Verarbeitung sind insbesondere folgende Kategorien betroffener Personen betroffen:

•Mitarbeitende des Auftraggebers
•Bewerberinnen und Bewerber
•Kundinnen und Kunden sowie deren Ansprechpartner
•Interessentinnen und Interessenten
•Lieferanten und Geschäftspartner sowie deren Ansprechpartner
•Sonstige Personen, deren Daten der Auftraggeber zu Geschäftszwecken erhebt und in der Plattform speichert

§ 5

Pflichten des Auftragnehmers

(1)Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers. Dies gilt auch in Bezug auf eine Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, es sei denn, der Auftragnehmer ist hierzu nach dem Recht der Union oder der Mitgliedstaaten, dem er unterliegt, verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2)Der Auftragnehmer stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).
(3)Der Auftragnehmer trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zum Schutz der Daten. Diese sind in Anlage 1 (TOM) im Einzelnen beschrieben.
(4)Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Anfragen und Ansprüche betroffener Personen gemäß Art. 12 bis 23 DSGVO sowie bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten (Art. 28 Abs. 3 lit. e, f DSGVO).
(5)Der Auftragnehmer benennt eine fachkundige und zuverlässige Kontaktstelle für Datenschutzangelegenheiten und teilt diese dem Auftraggeber unverzüglich mit. Die Kontaktstelle ist erreichbar unter: admin@clickcandit.com.
(6)Der Auftragnehmer wirkt unverzüglich auf die Behebung von Verstößen im Verantwortungsbereich seiner Mitarbeitenden hin und meldet dem Auftraggeber unverzüglich, in jedem Fall jedoch innerhalb von 24 Stunden, Verletzungen des Schutzes personenbezogener Daten gemäß § 9 dieses Vertrages.
(7)Der Auftragnehmer führt im Anwendungsbereich von Art. 30 Abs. 2 DSGVO ein Verzeichnis der Verarbeitungstätigkeiten und stellt es dem Auftraggeber auf Anfrage zur Verfügung.

§ 6

Pflichten und Weisungsbefugnis des Auftraggebers

(1)Der Auftraggeber ist im Verhältnis zwischen den Parteien für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer und für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich („Verantwortlicher" im Sinne des Art. 4 Nr. 7 DSGVO).
(2)Weisungen werden grundsätzlich in Textform durch berechtigte Mitarbeitende des Auftraggebers erteilt. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Konfigurationen und Eingaben in die Verwaltungsoberfläche der Plattform gelten ebenfalls als Weisung im Sinne dieses Vertrages.
(3)Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten in Bezug auf datenschutzrechtliche Bestimmungen feststellt.
(4)Der Auftraggeber benennt dem Auftragnehmer auf Anforderung die zur Erteilung von Weisungen berechtigten Personen.

§ 7

Unterauftragsverarbeiter

(1)Der Auftraggeber erteilt dem Auftragnehmer mit Abschluss dieses Vertrages eine allgemeine Genehmigung zur Heranziehung der in Anlage 2 namentlich aufgeführten weiteren Auftragsverarbeiter (Unterauftragsverarbeiter) im Sinne von Art. 28 Abs. 2 Satz 1 DSGVO.
(2)Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Auftraggeber mindestens 14 Tage vor der beabsichtigten Änderung in Textform mit. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund widersprechen. Erfolgt kein Widerspruch innerhalb der Frist, gilt die Änderung als genehmigt. Im Falle eines berechtigten Widerspruchs sind die Parteien berechtigt, den Hauptvertrag und diesen Vertrag aus wichtigem Grund zu kündigen.
(3)Der Auftragnehmer hat dem Unterauftragsverarbeiter dieselben Datenschutzpflichten aufzuerlegen, die in diesem Vertrag festgelegt sind. Insbesondere ist sicherzustellen, dass der Unterauftragsverarbeiter hinreichende Garantien dafür bietet, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt (Art. 28 Abs. 4 DSGVO).
(4)Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Einhaltung der Pflichten (Art. 28 Abs. 4 Satz 2 DSGVO).
(5)Nicht als Unterauftragsverarbeiter im Sinne dieses Vertrages gelten Dienstleister, die der Auftragnehmer zur reinen Telekommunikationsdienstleistung, zu Postversand-, Transport-, Wartungs- und Reinigungsdienstleistungen sowie zur Prüfung von Sicherheitssystemen heranzieht. Verpflichtungen zur datenschutzkonformen Auftragsdurchführung bleiben hiervon unberührt.

§ 8

Rechte der betroffenen Personen

(1)Der Auftragnehmer unterstützt den Auftraggeber – soweit möglich – mit geeigneten technischen und organisatorischen Maßnahmen dabei, seinen Pflichten zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer in Kapitel III der DSGVO genannten Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) nachzukommen.
(2)Wenden sich betroffene Personen unmittelbar an den Auftragnehmer, leitet dieser solche Anfragen unverzüglich an den Auftraggeber weiter. Eine selbständige Beantwortung durch den Auftragnehmer findet nicht statt.
(3)Im Rahmen der Plattform stellt der Auftragnehmer dem Auftraggeber Funktionen zur Verfügung, mit denen dieser Auskunfts-, Berichtigungs-, Lösch- und Exportanfragen weitgehend selbst bearbeiten kann (insbesondere DSGVO-Self-Service-Bereich, Datenexport in maschinenlesbarem Format gemäß Art. 20 DSGVO, Löschfunktionen).

§ 9

Meldepflichten bei Verletzungen des Schutzes personenbezogener Daten

(1)Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO unverzüglich nach Kenntniserlangung, in jedem Fall jedoch innerhalb von 24 Stunden. Die Meldung erfolgt in Textform an die vom Auftraggeber benannte Kontaktstelle.
(2)Die Meldung enthält – soweit möglich – mindestens folgende Angaben (Art. 33 Abs. 3 DSGVO): (a) Beschreibung der Art der Verletzung mit Angabe der betroffenen Kategorien und Anzahl der betroffenen Personen sowie der betroffenen Datensätze; (b) Name und Kontaktdaten des Datenschutzbeauftragten oder der sonstigen Anlaufstelle; (c) Beschreibung der wahrscheinlichen Folgen; (d) Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Eindämmung.
(3)Sind die genannten Informationen nicht vollständig verfügbar, werden sie ohne weitere Verzögerung schrittweise nachgereicht. Der Auftragnehmer unterstützt den Auftraggeber bei den ihm obliegenden Meldepflichten gegenüber der Aufsichtsbehörde (Art. 33 DSGVO) und gegenüber den betroffenen Personen (Art. 34 DSGVO).

§ 10

Nachweis-, Kontroll- und Auditrechte

(1)Der Auftragnehmer weist dem Auftraggeber die Einhaltung der in diesem Vertrag niedergelegten Pflichten mit geeigneten Mitteln nach (Art. 28 Abs. 3 lit. h DSGVO). Geeignete Nachweise sind insbesondere aktuelle Testate anerkannter Prüfungsstellen (z. B. ISO 27001, SOC 2, BSI C5, TISAX), interne Prüfberichte oder gleichwertige Selbstauskünfte.
(2)Sollten im Einzelfall Inspektionen vor Ort durch den Auftraggeber oder einen durch ihn beauftragten Prüfer erforderlich sein, werden diese mit angemessener Vorlaufzeit (mindestens 14 Werktage) und während der üblichen Geschäftszeiten durchgeführt, sodass der Geschäftsbetrieb des Auftragnehmers nicht beeinträchtigt wird. Der Auftragnehmer kann verlangen, dass der Prüfer eine Vertraulichkeitsvereinbarung unterzeichnet und nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht.
(3)Der angemessene Aufwand für Inspektionen ist – außer im Fall eines konkreten Verdachts auf datenschutzrechtliche Verstöße durch den Auftragnehmer – für beide Seiten kostenpflichtig zu vereinbaren.
(4)Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Satz 2 DSGVO).

§ 11

Löschung und Rückgabe nach Beendigung des Auftrags

(1)Der Auftragnehmer räumt dem Auftraggeber bis 30 Tage nach Beendigung des Hauptvertrages die Möglichkeit ein, alle in der Plattform gespeicherten personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu exportieren („Selbst-Export").
(2)Nach Ablauf dieser 30-Tage-Frist werden sämtliche im Rahmen des Auftrags verarbeiteten personenbezogenen Daten – einschließlich aller Kopien – innerhalb weiterer 90 Tage in datenschutzkonformer Weise vollständig gelöscht (Art. 28 Abs. 3 lit. g DSGVO). Auf Wunsch des Auftraggebers werden die Daten stattdessen an diesen herausgegeben.
(3)Die Löschung umfasst auch Sicherungskopien (Backups), die spätestens mit dem nächsten regulären Rotationszyklus (max. 90 Tage) überschrieben werden.
(4)Eine Aufbewahrung über den vorgenannten Zeitraum hinaus erfolgt nur, soweit der Auftragnehmer durch Unionsrecht oder das Recht eines Mitgliedstaates zur Speicherung verpflichtet ist (insbesondere handels- und steuerrechtliche Aufbewahrungspflichten gemäß § 257 HGB, § 147 AO). In diesem Fall werden die betreffenden Daten gesperrt und nur für die gesetzlich vorgesehenen Zwecke verarbeitet.
(5)Der Auftragnehmer dokumentiert die Löschung und stellt dem Auftraggeber auf Anfrage eine entsprechende Bestätigung zur Verfügung.

§ 12

Haftung und Schlussbestimmungen

(1)Für den Schadensersatzanspruch betroffener Personen gilt Art. 82 DSGVO. Im Innenverhältnis zwischen Auftraggeber und Auftragnehmer haftet jeweils diejenige Partei, der eine Pflichtverletzung zuzurechnen ist. Die Parteien stellen sich wechselseitig von Ansprüchen Dritter frei, soweit der jeweils anderen Partei die Verletzung zuzurechnen ist.
(2)Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Dies gilt auch für die Aufhebung dieser Formklausel.
(3)Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, berührt dies die Gültigkeit der übrigen Bestimmungen nicht. Die Parteien verpflichten sich, an die Stelle der unwirksamen Bestimmung eine wirksame Regelung zu setzen, die dem wirtschaftlichen und rechtlichen Zweck der unwirksamen Bestimmung am nächsten kommt.
(4)Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages in datenschutzrechtlichen Belangen vor.
(5)Es gilt das Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist – sofern gesetzlich zulässig – der Sitz des Auftragnehmers.

Anlage 1

Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft folgende Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Maßnahmen, die verhindern, dass Unbefugte personenbezogene Daten zur Kenntnis nehmen oder verwenden können.

Zutrittskontrolle: Rechenzentrumsbetrieb durch zertifizierten Auftragnehmer (Supabase auf AWS Frankfurt eu-central-1, ISO 27001, SOC 2 Type II); 24/7-Sicherheitspersonal, biometrische Zugangskontrolle, Videoüberwachung.
Zugangskontrolle: Mehrfaktor-Authentifizierung (TOTP/WebAuthn) für alle administrativen Konten; Passwortrichtlinie mit Mindestlänge und Komplexität; automatische Sperrung nach Fehlversuchen; SSO über Supabase Auth (JWT, RS256).
Zugriffskontrolle: Row-Level-Security (RLS) auf Datenbankebene für jede der 397 Policies; rollenbasiertes Berechtigungsmodell (RBAC) mit 5 Rollen (owner, admin, member, viewer, auditor); Tenant-Isolation auf Mandantenebene; Audit-Log sämtlicher Zugriffe auf sensible Daten.
Trennungskontrolle: Strikte Mandantentrennung auf Datenbankebene per tenant_id und RLS-Policies; getrennte Bearbeitung von Produktions-, Test- und Entwicklungsdaten; logische Trennung von Authentifizierungs- und Anwendungsdaten.
Pseudonymisierung & Verschlüsselung: Transportverschlüsselung TLS 1.3 für alle Verbindungen; Festplattenverschlüsselung AES-256 (at rest); verschlüsselte Backups; Secrets-Management über Supabase Vault.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Maßnahmen zum Schutz personenbezogener Daten vor unbemerkter Veränderung.

Weitergabekontrolle: Verschlüsselte Datenübertragung (HTTPS/TLS 1.3, HSTS), keine Klartext-APIs; signierte JWT-Tokens für interne Service-Kommunikation; dokumentierte Schnittstellen mit Authentifizierung.
Eingabekontrolle: Vollständiges Audit-Logging aller datenverarbeitenden Vorgänge (Erstellung, Änderung, Löschung) mit Zeitstempel und Nutzerkennung; Versionierung kritischer Datensätze (Verträge, Rechnungen, Buchungen) mit unveränderbarer Historie.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

Maßnahmen zur Sicherstellung der Verfügbarkeit personenbezogener Daten und ihrer Belastbarkeit bei einem physischen oder technischen Zwischenfall.

Verfügbarkeitskontrolle: Datensicherungen erfolgen durch die genutzten Auftragsverarbeiter (Supabase, Hetzner) gemäß deren jeweiligen Sicherungskonzepten. ClickCandit selbst gibt keine eigenständigen Zusicherungen zu Frequenz, Aufbewahrungsdauer, Point-in-Time-Recovery, RTO oder RPO ab; verbindlich sind insoweit die jeweiligen Provider-Bedingungen.
Schutz vor Schadsoftware: Einsatz aktueller Komponenten der Auftragsverarbeiter; zeitnahes Einspielen sicherheitsrelevanter Updates durch ClickCandit nach Bekanntwerden, soweit personell leistbar; eingeschränkte Berechtigungsmodelle in Edge Functions und Datenbank.
Schutz vor Angriffen: Nutzung der Schutzmechanismen der Auftragsverarbeiter (u. a. Rate-Limiting, Netzwerk-Schutz, TLS-Termination). Spezifische Mechanismen wie Web Application Firewall oder Intrusion Detection werden nicht eigenständig durch ClickCandit zugesichert.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der TOM.

Datenschutz-Management: Bestellung eines Verantwortlichen für Datenschutz; jährliche Überprüfung aller datenschutzrelevanten Prozesse; aktualisiertes Verzeichnis von Verarbeitungstätigkeiten.
Incident-Response-Management: Dokumentierter Notfallplan; Definition von Eskalationsstufen; 24-Stunden-Meldung an den Auftraggeber bei Datenschutzverletzungen gemäß § 9 dieses Vertrages.
Datenschutzfreundliche Voreinstellungen (Privacy by Default, Art. 25 DSGVO): Datenminimierung als Designprinzip; Pseudonymisierung wo möglich; klare Default-Einstellungen mit minimaler Datenfreigabe.
Auftragskontrolle: Sorgfältige Auswahl der Unterauftragsverarbeiter (siehe Anlage 2); Abschluss schriftlicher Auftragsverarbeitungsverträge; regelmäßige Prüfung der eingesetzten Subdienstleister.

Anlage 2

Verzeichnis der Unterauftragsverarbeiter

Mit Abschluss dieses Vertrages genehmigt der Auftraggeber die folgenden Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Änderungen werden mindestens 14 Tage vorab in Textform angekündigt.

Auftragsverarbeiter	Zweck	Standort	Status
Supabase (Database & Auth)	Datenbankhosting, Authentifizierung, Edge Functions	EU (Frankfurt)	AVV nach Art. 28 DSGVO
Amazon Web Services (AWS)	Rechenzentrums-Infrastruktur unterhalb von Supabase	EU (Frankfurt, eu-central-1)	AVV nach Art. 28 DSGVO (über Supabase), EU-US-DPF-zertifiziert
Hetzner Online GmbH	Server-Hosting	Deutschland (Nürnberg)	AVV nach Art. 28 DSGVO
GoCardless Ltd. (Bank Account Data)	Kontoumsatz-Abruf für den Bankabgleich — nur nach Verbindung durch den Mandanten	EU / Vereinigtes Königreich	Angemessenheitsbeschluss UK, DPA nach Art. 28 DSGVO
Meta Platforms Ireland Ltd. (WhatsApp Business)	Versand und Empfang von WhatsApp-Nachrichten — nur bei aktivierter Anbindung	EU (Irland) / USA	EU-Standardvertragsklauseln (SCC), EU-US-DPF, DPA
Google Ireland Ltd. (Workspace)	Postfach für eingehende Supportanfragen (Übergangslösung), OAuth-Verbindungen zu Google-Diensten	EU (Irland) / USA	EU-Standardvertragsklauseln (SCC), EU-US-DPF, DPA
Microsoft Ireland Operations Ltd.	OAuth-Verbindungen zu Microsoft 365 (Mail/Kalender) — nur nach Verbindung durch den Mandanten	EU (Irland) / USA	EU-Standardvertragsklauseln (SCC), EU-US-DPF, DPA
Stripe Payments Europe Ltd.	Zahlungsabwicklung (Kassensystem, Abonnements)	EU (Irland)	DPA nach Art. 28 DSGVO
Matomo	Anonyme Reichweitenmessung	Selbst-gehostet (Deutschland)	Eigene Verarbeitung — kein externer AVV erforderlich
Requesty Inc. (KI-Router)	KI-Verarbeitung — Standardweg, sobald KI-Funktionen aktiviert sind	USA	EU-Standardvertragsklauseln (SCC), DPA
Anthropic (Claude)	KI-Verarbeitung mit eigenem Zugangsschlüssel des Mandanten	USA	EU-Standardvertragsklauseln (SCC), DPA
OpenAI	Optionale KI-Verarbeitung (nur bei Kunden-Aktivierung)	USA	EU-Standardvertragsklauseln (SCC), DPA

Anlage 3

Unterschriften & Inkrafttreten

Der Vertrag wird durch elektronische Annahme der Plattform-Nutzungsbedingungen wirksam.
Eine schriftliche Ausfertigung kann jederzeit unter admin@clickcandit.com angefordert werden.
Änderungen an dieser AVV werden mindestens 30 Tage vor Inkrafttreten in Textform angekündigt.

Auftraggeber

Ort, Datum, Unterschrift, Name in Druckbuchstaben

Auftragnehmer