Auftragsverarbeitungsvertrag (AVV) Technikscout

Stand: November 2026 (Fassung 2026-11)

Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO für Technikscout Pro

Verantwortlicher („Kunde“): die in Technikscout Pro registrierte Organisation, vertreten durch den abschließenden Administrator.
Auftragsverarbeiter („Auftragnehmer“): Dominik Holzner, DGH-IT, Florianweg 5, 83317 Teisendorf, kontakt@dgh-it.de.

Der Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO), indem der Kunde ihm in der Software zustimmt; Zeitpunkt, Person und Fassung werden protokolliert.

§ 1 Gegenstand, Dauer

1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Kunden, um ihm die Software „Technikscout Pro“ nach den AGB Technikscout Pro („Hauptvertrag“) bereitzustellen.
2. Der AVV gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragnehmer personenbezogene Daten des Kunden verarbeitet (insbesondere während des Abrufzeitraums nach Vertragsende und bis zur Löschung nach § 10).
3. Bei Widersprüchen geht dieser AVV dem Hauptvertrag in Fragen des Datenschutzes vor.

§ 2 Art, Zweck, Daten, Betroffene

Zweck	Betrieb der Software: Inventarisierung, Erkennung und Wartung technischer Geräte, Störungserfassung, Benutzer- und Rechteverwaltung, Einladungen, Benachrichtigungen (E-Mail, Web-Push), KI-Erkennung, KI-Fehlerdiagnose und KI-Katalogaktualisierung, Exporte, Sicherheit und Protokollierung, Abrechnung der KI-Kontingente
Art der Verarbeitung	Erheben, Erfassen, Speichern, Ordnen, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an Unterauftragsverarbeiter (KI-Analyse, E-Mail-Zustellung, verschlüsselte Sicherungskopie außer Haus), Sichern, Wiederherstellen, Einschränken, Löschen
Datenarten	(a) Benutzerdaten: Name, E-Mail-Adresse, Rolle, Organisation, Passwort-Hash, Zeitpunkt der letzten Anmeldung, Fehlversuche, Sitzungen, Spracheinstellungen und KI-Voreinstellungen, verschlüsselt hinterlegte eigene KI-Schlüssel, Web-Push-Abonnements (Endpunkt-Adresse des Browsers); (b) Einladungen: E-Mail-Adresse, Name und einladende Person; (c) Inventardaten: Geräte, Standorte, Seriennummern, technische Daten, Notizen, zuständige Personen, Wartungsaufgaben und -historie, Störungen und Problembeschreibungen; (d) Fotos von Geräten, die zufällig Personen, Kennzeichen oder Informationen Dritter zeigen können; (e) Protokolle: Prüfprotokoll (Zeitpunkt, Benutzerkennung, E-Mail-Adresse, Aktion, betroffenes Objekt, IP-Adresse), KI-Nutzungsprotokoll (Zeitpunkt, Organisation, Benutzerkennung, KI-Anbieter, Modell, Art, Erfolg, Dauer)
Besondere Kategorien (Art. 9 DSGVO)	nicht vorgesehen; der Kunde gibt solche Daten nicht ein (AGB § 9 Abs. 2)
Betroffene	Beschäftigte, Beauftragte und sonstige Benutzer des Kunden; eingeladene Personen; Dritte, die in Notizen, Zuständigkeiten oder auf Fotos erscheinen

§ 3 Weisungen

1. Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden – auch hinsichtlich Übermittlungen in Drittländer –, sofern er nicht durch Unionsrecht oder deutsches Recht zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Kunden diese Pflichten vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Die Weisungen sind in diesem AVV, im Hauptvertrag und in den Einstellungen festgelegt, die der Kunde in der Software vornimmt (z. B. erlaubte KI-Anbieter, Zulassung eigener KI-Schlüssel, Löschen von Daten). Weitere Weisungen erteilt der Kunde in Textform an kontakt@dgh-it.de. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, kann der Auftragnehmer gegen angemessene Vergütung ausführen oder ablehnen.
3. Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Kunden unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO) und darf die Ausführung bis zur Bestätigung oder Änderung durch den Kunden aussetzen.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Derzeit verarbeitet ausschließlich der Inhaber selbst die Daten. Setzt der Auftragnehmer weitere Personen ein, verpflichtet er sie vor Aufnahme der Tätigkeit in Textform zur Vertraulichkeit.

§ 5 Sicherheit der Verarbeitung

1. Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind (Art. 28 Abs. 3 lit. c DSGVO).
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Sicherheitsniveau darf nicht sinken. Wesentliche Änderungen dokumentiert er und teilt sie dem Kunden auf Anfrage mit.

§ 6 Unterauftragsverarbeiter

1. Der Kunde erteilt eine allgemeine Genehmigung für Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.
2. Der Auftragnehmer informiert den Kunden mindestens vier Wochen vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters (auch vor der Freischaltung eines weiteren KI-Anbieters auf der Plattform) in Textform oder durch Hinweis in der Software. Der Kunde kann innerhalb dieser Frist in Textform widersprechen; er soll dabei seine Gründe nennen. Kommt keine Einigung zustande, kann der Auftragnehmer dem Kunden anbieten, den Unterauftragsverarbeiter für ihn nicht einzusetzen (z. B. durch Ausschluss des KI-Anbieters in den Organisationseinstellungen); ist das nicht möglich, kann der Kunde den Hauptvertrag bis zum Zeitpunkt des Wechsels fristlos kündigen; im Voraus gezahlte Vergütung für die Zeit danach erstattet der Auftragnehmer anteilig.
3. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf wie in diesem AVV, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Bei Anbietern, die nur standardisierte Bedingungen anbieten (z. B. Anthropic), genügt deren Auftragsverarbeitungsvertrag, wenn er den Anforderungen des Art. 28 DSGVO entspricht. Der Auftragnehmer haftet gegenüber dem Kunden für die Einhaltung der Pflichten durch seine Unterauftragsverarbeiter.
4. Weitere Unterauftragsverarbeiter eines Unterauftragsverarbeiters (z. B. Rechenzentrumsbetreiber von Anthropic) ergeben sich aus dessen veröffentlichter Liste (Anlage 2). Der Auftragnehmer informiert den Kunden über ihm bekannt gewordene wesentliche Änderungen unverzüglich.
5. Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikation, Internetzugang und Wartung der eigenen Hardware ohne Zugriff auf Daten.
6. Eigene KI-Zugänge des Kunden: Hinterlegt der Kunde oder ein Benutzer einen eigenen Zugangsschlüssel eines KI-Anbieters, wird die jeweilige Analyse über den Vertrag des Kunden mit dem KI-Anbieter abgewickelt. Der KI-Anbieter ist dann kein Unterauftragsverarbeiter des Auftragnehmers; der Kunde schließt die erforderlichen Verträge (insbesondere nach Art. 28 DSGVO und Kapitel V DSGVO) selbst. Der Auftragnehmer übermittelt die Daten in diesem Fall auf Weisung des Kunden.
7. Web-Push: Aktiviert ein Benutzer Benachrichtigungen im Browser, werden sie über den Push-Dienst des Browserherstellers zugestellt (z. B. Google, Mozilla, Apple), den der Browser des Benutzers vorgibt. Der Inhalt (Titel der fälligen Wartung, Gerätename oder Anzahl) wird Ende-zu-Ende verschlüsselt (RFC 8291) und ist für den Push-Dienst nicht lesbar. Der Push-Dienst erhält nur die verschlüsselte Nachricht, die Push-Adresse und technische Verbindungsdaten. Er wird vom Browser des Benutzers vorgegeben, nicht vom Auftragnehmer ausgewählt, und erbringt eine reine Übermittlungsleistung; er ist deshalb wie Telekommunikationsanbieter (Abs. 5) kein Unterauftragsverarbeiter. Push-Dienste können ihren Sitz außerhalb der EU haben (z. B. in den USA). Benachrichtigungen im Browser sind freiwillig; der Kunde kann sie für seine Organisation unterbinden, indem seine Benutzer sie nicht aktivieren, und stattdessen E-Mail-Benachrichtigungen nutzen.

§ 7 Drittlandübermittlung

1. Eine Verarbeitung außerhalb der EU bzw. des EWR findet nur durch die in Anlage 2 als Drittlandempfänger gekennzeichneten Unterauftragsverarbeiter und nur unter den Voraussetzungen der Art. 44 ff. DSGVO statt.
2. Für Anthropic beruht die Übermittlung auf den EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 3 – Auftragsverarbeiter an Auftragsverarbeiter), die Bestandteil des Data Processing Addendum von Anthropic sind (Art. 46 Abs. 2 lit. c DSGVO). Der Auftragnehmer hat die Übermittlung in einer Transferfolgenabschätzung bewertet und stellt dem Kunden eine Zusammenfassung auf Anfrage zur Verfügung.
3. Die Übermittlung an Anthropic wird ausschließlich auf die Standardvertragsklauseln nach Abs. 2 gestützt, nicht auf das EU-US Data Privacy Framework. Anthropic verarbeitet die Daten in den USA bzw. weltweit (Einstellung „global“); eine Verarbeitung ausschließlich in einer EU-Region ist nicht eingestellt. Vor der Übermittlung beschränkt der Auftragnehmer die Daten nach Anlage 1 Nr. 9 und Anlage 2.

§ 8 Unterstützung des Kunden

1. Betroffenenrechte (Art. 28 Abs. 3 lit. e DSGVO): Der Auftragnehmer unterstützt den Kunden mit den Funktionen der Software (Anzeigen, Bearbeiten, Exportieren und Löschen von Benutzern, Geräten, Fotos, Wartungen und Störungen). Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst.
2. Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO): Der Auftragnehmer unterstützt den Kunden unter Berücksichtigung der ihm vorliegenden Informationen bei der Sicherheit der Verarbeitung, bei Meldungen und Benachrichtigungen nach Verletzungen des Schutzes personenbezogener Daten, bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.
3. Meldung von Datenschutzverletzungen: Der Auftragnehmer meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, möglichst innerhalb von 24 Stunden, in Textform an die E-Mail-Adresse des Organisationsadministrators. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden nachgereicht. Bei Vorfällen bei einem Unterauftragsverarbeiter meldet der Auftragnehmer unverzüglich nach dessen Mitteilung (Anthropic: spätestens 48 Stunden nach Kenntnis).
4. Unterstützungsleistungen, die nicht auf einem Verstoß des Auftragnehmers beruhen und über die Funktionen der Software hinausgehen, kann der Auftragnehmer nach Aufwand zu den Sätzen seiner aktuellen Preisliste berechnen, wenn er dies vorher ankündigt.

§ 9 Nachweise und Kontrollen

1. Der Auftragnehmer stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (insbesondere diesen AVV mit Anlagen, Auskünfte zu Maßnahmen und Unterauftragsverarbeitern, bei Anthropic deren Prüfberichte, soweit Anthropic sie zur Weitergabe freigibt) und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragnehmers ist (Art. 28 Abs. 3 lit. h DSGVO).
2. Inspektionen vor Ort sind mit einer Ankündigungsfrist von mindestens 14 Tagen während der Geschäftszeiten und ohne Störung des Betriebs möglich, in der Regel höchstens einmal im Kalenderjahr, bei konkretem Anlass (z. B. Datenschutzverletzung, Anordnung einer Aufsichtsbehörde) auch öfter. Daten anderer Kunden dürfen dabei nicht eingesehen werden.
3. Jede Seite trägt ihre eigenen Kosten. Übersteigt der Aufwand des Auftragnehmers einen Arbeitstag je Kalenderjahr, kann er ihn nach Aufwand berechnen, sofern die Prüfung nicht einen Verstoß des Auftragnehmers ergibt.
4. Der Auftragnehmer informiert den Kunden unverzüglich über Kontrollen und Maßnahmen einer Aufsichtsbehörde, soweit sie diesen Auftrag betreffen.

§ 10 Löschung und Rückgabe nach Vertragsende

1. Nach Ende des Hauptvertrags insgesamt (nicht schon bei Ende eines kostenpflichtigen Pakets, das auf das Paket „Start“ zurückgestuft wird, AGB § 12 Abs. 3) kann der Kunde seine Daten noch 30 Tage über die Exportfunktionen einschließlich des Komplettexports herunterladen (Abrufzeitraum, AGB § 13). Nach Wahl des Kunden gibt der Auftragnehmer die Daten so zurück oder löscht sie; auf Weisung in Textform löscht er sie auch vor Ablauf des Abrufzeitraums (Art. 28 Abs. 3 lit. g DSGVO).
2. Der Auftragnehmer informiert die Administratoren der Organisation bei Vertragsende per E-Mail über den Abrufzeitraum und erinnert sie sieben Tage vor dessen Ablauf. Nach Ablauf des Abrufzeitraums löscht er die Organisation mit allen Benutzern, Inventar-, Wartungs- und Störungsdaten, Fotos, Einladungen, Push-Abonnements und KI-Schlüsseln unverzüglich und bestätigt die Löschung per E-Mail.
3. Prüfprotokoll- und KI-Nutzungsprotokoll-Einträge der Organisation werden zusammen mit der Organisation gelöscht.
4. Kopien in Datensicherungen werden im regulären Zyklus (Anlage 1 Nr. 7) überschrieben; bis dahin werden sie nicht mehr verwendet.
5. Einer gesetzlichen Pflicht zur Speicherung unterliegende Daten bewahrt der Auftragnehmer nur so lange und nur für diesen Zweck auf.
6. Anthropic löscht übermittelte Eingaben und Ausgaben nach seinen Bedingungen automatisch innerhalb von 30 Tagen (Ausnahmen: Anlage 2).

§ 11 Daten, die der Auftragnehmer für eigene Zwecke verarbeitet

1. Das Scan-Protokoll nach § 8 der AGB enthält keine Fotos, keine Benutzerkonten, Standorte, Seriennummern, Notizen oder sonstigen Freitexte und ist nur der Organisation zugeordnet. Der Auftraggeber erlaubt dem Auftragnehmer, daraus KI-Ergebnisse ohne Personenbezug zur Verbesserung der Erkennung und der Gerätedatenbank zu nutzen. Soweit es im Einzelfall dennoch personenbezogene Daten enthält (z. B. bei einer Organisation, die eine natürliche Person ist), verarbeitet der Auftragnehmer diese Daten zur Verbesserung von Erkennung und Gerätedatenbank als eigener Verantwortlicher (Art. 28 Abs. 10 DSGVO) auf Grundlage seines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO); Löschung nach zwölf Monaten. Der Kunde ist damit einverstanden; die Informationen nach Art. 13/14 DSGVO enthält die Datenschutzerklärung des Auftragnehmers.
2. Ebenfalls als eigener Verantwortlicher verarbeitet der Auftragnehmer Vertrags-, Bestell- und Rechnungsdaten sowie Nachweise über die Zustimmung zu AGB und AVV (Zeitpunkt, Person, Fassung, Hashwert der IP-Adresse).

§ 12 Haftung, Schlussbestimmungen

1. Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.
2. Änderungen dieses AVV bedürfen der Zustimmung des Kunden in Textform oder in der Software; Schweigen gilt nicht als Zustimmung. Änderungen der Anlage 2 richten sich nach § 6.
3. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht; Gerichtsstand nach dem Hauptvertrag.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Ort und Hosting: Betrieb auf eigener Hardware des Auftragnehmers in einem verschlossenen Technikraum im Keller des Wohn- und Geschäftshauses des Inhabers in Teisendorf (Bayern, Deutschland): ein Server mit gespiegelten Datenträgern (ZFS-Spiegel), eine Stromversorgung über das Hausnetz ohne unterbrechungsfreie Stromversorgung (USV), ein Internetanschluss ohne Redundanz; virtualisierte Container auf Proxmox, Datenbank PostgreSQL im internen Netz, nicht aus dem Internet erreichbar.
2. Zutrittskontrolle: Server und Sicherungssystem im verschlossenen Technikraum (Nr. 1); Zutritt nur durch den Inhaber, Dritte nur in seiner Begleitung. Das Mail-Gateway läuft auf einem gemieteten Server der netcup GmbH in einem Rechenzentrum in Deutschland; die Zutrittskontrolle obliegt dort dem Anbieter. Die verschlüsselte Kopie der Sicherungen außer Haus liegt auf einem Speicher der Hetzner Online GmbH im Rechenzentrum Falkenstein (Deutschland); die Zutrittskontrolle obliegt dort dem Anbieter (ISO/IEC 27001 zertifiziert, BSI-C5-Testat Typ 2).
3. Zugangskontrolle (Systeme): Verwaltung nur per SSH mit persönlichem Schlüssel aus einem getrennten Verwaltungsnetz bzw. über verschlüsseltes VPN; Firewall (OPNsense) mit Standardverweigerung; Reverse-Proxy als einziger öffentlicher Zugang; automatische Erkennung und Sperrung von Angriffsmustern (CrowdSec).
4. Zugangskontrolle (Anwendung): Passwörter mit scrypt (N = 32768) und individuellem Salt gehasht; Kontosperre für 15 Minuten nach fünf Fehlversuchen; Sitzungs-Cookies mit Präfix __Host-, HttpOnly, Secure und SameSite; Sitzungen laufen nach 12 Stunden Inaktivität ab („angemeldet bleiben“: 180 Tage, je Gerät widerrufbar); CSRF- und Herkunftsprüfung; Sicherheits-Header (u. a. Content-Security-Policy); E-Mail-Bestätigung der Registrierung (24 Stunden), Einladungslinks einmalig und 7 Tage gültig, Tokens nur als Hash gespeichert.
5. Zugriffskontrolle: strikte Mandantentrennung – jede Datenbankabfrage ist an die Organisation gebunden; Rollen- und Rechtekonzept (Administrator, Techniker, Leser); Plattform-Administration nur durch den Auftragnehmer; geheime Schlüssel (KI-Schlüssel, SMTP-Passwort) AES-256-GCM-verschlüsselt gespeichert und nie vollständig angezeigt.
6. Weitergabekontrolle: ausschließlich HTTPS (TLS) zwischen Browser und Reverse-Proxy; verschlüsselte Verbindungen zu KI-Anbietern (HTTPS) und zum Mail-Gateway (TLS); E-Mail-Zustellung an Empfänger per TLS, soweit der empfangende Server es unterstützt; Web-Push-Inhalte Ende-zu-Ende verschlüsselt; hochgeladene Bilder werden anhand ihrer Dateisignatur geprüft (nur JPEG, PNG, WebP; höchstens 12 MB).
7. Verfügbarkeit und Wiederherstellbarkeit: tägliche Sicherung von Datenbank und Fotoverzeichnis, vor dem Speichern clientseitig mit AES-256-GCM verschlüsselt (Schlüssel nur beim Auftragnehmer), auf einem getrennten Sicherungssystem am selben Standort; zusätzlich eine verschlüsselte Kopie außer Haus bei der Hetzner Online GmbH (Rechenzentrum Falkenstein, Deutschland), nächtlich per SSH abgeglichen; Aufbewahrung 7 tägliche, 4 wöchentliche und 6 monatliche Sicherungen (die Speicher-Snapshots der Kopie außer Haus bis zu etwa 14 Tage länger); wöchentliche automatische Prüfung der Sicherungen; zusätzlich Datenbanksicherung vor jedem Update. Überwachung aller Dienste mit Meldung an den Inhaber; Störungsbearbeitung montags bis freitags von 9 bis 17 Uhr, keine Bereitschaft rund um die Uhr.
8. Eingabekontrolle: Prüfprotokoll sicherheitsrelevanter Aktionen (Anmeldung, Fehlversuche, Benutzer- und Rechteänderungen, Exporte, KI-Analysen, Lizenzänderungen, Zugriffe der Plattform-Administration auf freigegebene Fotos).
9. Datenminimierung und Löschfristen: an KI-Anbieter nur die in Anlage 2 genannten Felder; Gerätenotizen bei der Fehlerdiagnose nur nach ausdrücklicher Auswahl (Voreinstellung: aus); erkennbare Kontaktdaten und Zugangsdaten-Muster werden vor dem Senden aus Freitexten entfernt; Hinweise in der Oberfläche, keine Personen oder Dokumente zu fotografieren und keine Namen einzugeben; Fotos, die nach einem abgebrochenen Scan keinem Gerät zugeordnet wurden: Löschung nach 24 Stunden; Fotos und Daten eines Geräts: mit Löschung des Geräts, alles mit Löschung der Organisation (§ 10); Scan-Protokoll: ohne Fotos, ohne Hinweistext und ohne Benutzerkonto, Löschung nach zwölf Monaten; unbestätigte Registrierungen (einschließlich verschlüsseltem Passwort): Löschung nach Ablauf (24 Stunden); Prüfprotokoll und KI-Nutzungsprotokoll: automatische Löschung nach zwölf Monaten, bei Löschung der Organisation sofort; Zugriffsprotokolle des Reverse-Proxys: höchstens 5 Wochen, Fehlerprotokolle: höchstens 11 Wochen.
10. Auftragskontrolle: Unterauftragsverarbeiter nur nach Anlage 2 mit Vertrag nach Art. 28 DSGVO; Freischaltung weiterer KI-Anbieter erst nach dem Verfahren des § 6.
11. Überprüfung: Überprüfung dieser Maßnahmen mindestens jährlich und bei wesentlichen Änderungen; Sicherheitsupdates von Betriebssystem und Abhängigkeiten zeitnah.

Anlage 2: Unterauftragsverarbeiter

Unternehmen	Leistung	Daten	Ort der Verarbeitung	Grundlage / Drittland
Anthropic, PBC, San Francisco, CA, USA	KI-Analyse über die Schnittstelle des Auftragnehmers: Geräteerkennung auf Fotos, Fehlerdiagnose, Katalogaktualisierung	Geräteerkennung: Foto und optionaler Hinweistext; Fehlerdiagnose: Bezeichnung, Hersteller, Modell, Kategorie und technische Daten des Geräts, Problembeschreibung, Notizen nur nach ausdrücklicher Auswahl durch den Benutzer; Katalogaktualisierung: Bezeichnung, Hersteller, Modell, Kategorie, Beschreibung und technische Daten eines Katalogeintrags. Erkennbare Kontaktdaten und Zugangsdaten-Muster werden vorher herausgefiltert; keine Benutzerkennung	USA bzw. weltweit (Einstellung „global“); keine EU-Region	EU-Standardvertragsklauseln (Modul 3) im Data Processing Addendum von Anthropic (Stand 24.02.2025); kein Training mit Inhalten (Commercial Terms, Stand 17.06.2025); automatische Löschung von Ein- und Ausgaben innerhalb von 30 Tagen, bei Verdacht auf Verstöße gegen die Usage Policy bis zu 2 Jahre (Einstufungswerte bis zu 7 Jahre). Weitere Unterauftragsverarbeiter: https://www.anthropic.com/subprocessors
netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland	Bereitstellung eines virtuellen Servers, auf dem der Auftragnehmer sein Mail-Gateway für ausgehende E-Mails (Bestätigungen, Einladungen, Benachrichtigungen) selbst betreibt	E-Mail-Adresse, Name, Inhalt der E-Mail (nur bis zur Zustellung in der Warteschlange); Verbindungsprotokolle (nur so lange wie für Zustellung und Fehleranalyse nötig; Sicherungen beim Dienstleister höchstens 14 Tage)	Deutschland; nur EU/EWR. Weitere Auftragsverarbeiter von netcup: Anexia Holding GmbH und Anexia Cloud Solutions GmbH (Klagenfurt, Österreich) sowie Anexia Cloud Solutions GmbH (Karlsruhe)	keine Drittlandübermittlung; Vertrag nach Art. 28 DSGVO, von netcup gezeichnet am 11.10.2026 (Version 7, Stand 2026/07)
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland	Bereitstellung von Speicherplatz (Storage Box), auf dem der Auftragnehmer eine zusätzliche Kopie seiner Datensicherungen außer Haus ablegt	alle Daten nach § 2 als Bestandteil der Systemsicherungen; vor der Übertragung beim Auftragnehmer mit AES-256-GCM verschlüsselt und verschlüsselt übertragen; den Schlüssel hat nur der Auftragnehmer, Hetzner kann die Inhalte nicht lesen; Aufbewahrung nach Anlage 1 Nr. 7	Rechenzentrum Falkenstein (Deutschland); Verarbeitung ausschließlich in der EU	keine Drittlandübermittlung; Vertrag nach Art. 28 DSGVO, abgeschlossen am 05.11.2026 (Hetzner-Fassung 1.2, Stand 16.02.2026)

Nicht eingesetzt (nur nach Ankündigung nach § 6 Abs. 2 und nur für Organisationen, die sie nicht ausschließen): Google (Gemini), OpenAI und weitere KI-Anbieter, die die Software technisch unterstützt.

Eigener Betrieb des Auftragnehmers, keine Unterauftragsverarbeitung: Server, Datenbank, Sicherungssystem, Mailserver (Mailcow), Rechnungssoftware und Lizenzdienst (DGH-IT Core, VARANO-Faktura) auf eigener Hardware in Deutschland; nur die verschlüsselte Kopie der Sicherungen außer Haus liegt bei der Hetzner Online GmbH.