Vereinbarung zur Auftragsverarbeitung

zwischen dem in der zugehörigen Leistungsvereinbarung bezeichneten Kunden („Verantwortlicher“ oder „Auftraggeber“) und der dataMatters GmbH, Pilgrimstr. 6, 50674 Köln („Auftragsverarbeiter“ oder „dataMatters“).

1. Gegenstand, Rangfolge und Begriffe

1. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus der Leistungsvereinbarung über die urbanOS Services. Er gilt für alle Verarbeitungsvorgänge, bei denen dataMatters personenbezogene Daten ausschließlich im Auftrag des Verantwortlichen verarbeitet. Art, Zweck und Umfang ergeben sich ergänzend aus Anlage 1.
2. Die Begriffe „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“ haben die Bedeutung der DSGVO. „Kundendaten“ sind die vom Auftraggeber oder seinen Nutzern bereitgestellten oder durch angebundene Geräte und Systeme in dessen Verantwortungsbereich erzeugten Daten.
3. Bei Widersprüchen geht dieser AVV einschließlich seiner Anlagen den allgemeinen Vertragsbedingungen vor. Individuelle datenschutzrechtliche Vereinbarungen gehen diesem AVV vor. Zwingendes Datenschutzrecht bleibt unberührt.
4. Die Leistungsvereinbarung, dieser AVV und seine Anlagen 1 bis 3 bilden den dokumentierten Auftrag. Jede einbezogene Organisation verantwortet die Verarbeitung in ihrem Zuständigkeitsbereich und benennt ihre weisungsberechtigten Personen. Eine zentrale Beschaffungs- oder Verwaltungsstelle darf für andere Organisationen nur aufgrund einer dokumentierten Bevollmächtigung handeln. Gemeinsame Beschaffung oder zentrale Administration allein begründen keine Weisungsbefugnis über Daten anderer Verantwortlicher. Zuordnung, Bevollmächtigungen und deren Änderungen werden in der Organisationsverwaltung oder in Textform dokumentiert und sind Bestandteil der auftragsbezogenen Festlegungen zu Anlage 1. Weitere Verantwortliche treten dem AVV vor Beginn ihrer Verarbeitung bei oder lassen sich hierfür wirksam vertreten.

2. Dauer und Beendigung

1. Dieser AVV tritt mit der Leistungsvereinbarung in Kraft und gilt, solange dataMatters im Auftrag personenbezogene Daten verarbeitet. Er endet erst, wenn alle auftragsbezogenen Daten nach Ziffer 14 zurückgegeben oder gelöscht sind, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
2. Weisungen und datenschutzrechtliche Verpflichtungen, die ihrer Natur nach fortwirken, bleiben nach Vertragsende bestehen. Die Vertraulichkeitspflichten gelten zeitlich unbeschränkt.

3. Verantwortlichkeit des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, die Auswahl und Konfiguration der urbanOS Services, die Richtigkeit seiner Weisungen und die Wahrung der Rechte betroffener Personen verantwortlich. Er bestimmt insbesondere Zwecke und Mittel der fachlichen Verarbeitung.
2. Der Auftraggeber stellt die erforderlichen Rechtsgrundlagen, Informationen, Einwilligungen, Interessenabwägungen, Löschregeln und gegebenenfalls Datenschutz-Folgenabschätzungen sicher. Er prüft besondere Kategorien personenbezogener Daten, Beschäftigtendaten, Kamera-, Telekommunikations-, Standort- und Bewegungsdaten sowie KI- oder Überwachungsszenarien vor ihrer Nutzung gesondert.
3. Der Auftraggeber vergibt Rollen, Mandate, Freigaben und technische Zugänge nach dem Erforderlichkeitsprinzip und widerruft sie rechtzeitig. Er übermittelt keine Daten, deren Verarbeitung nicht vom Auftrag umfasst oder für die die Services nach der Dokumentation nicht vorgesehen sind.
4. Erkennt der Auftraggeber Fehler oder Unregelmäßigkeiten in Auftragsergebnissen, Weisungen oder Daten, informiert er dataMatters unverzüglich und wirkt an einer risikogerechten Behebung mit.

4. Weisungsgebundene Verarbeitung

1. dataMatters verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers und innerhalb der vereinbarten Zwecke und Verarbeitungsorte. Es gilt die EU-Beschränkung nach Ziffer 9. Gesetzlich gebotene Verarbeitung nach Unionsrecht oder dem Recht eines Mitgliedstaats bleibt unberührt; dataMatters informiert den Auftraggeber vorab, soweit das Recht dies nicht aus wichtigen öffentlichen Interessen verbietet.
2. Anfängliche Weisungen ergeben sich aus diesem AVV, der Leistungsvereinbarung, der vereinbarten Konfiguration und der bestimmungsgemäßen Nutzung durch berechtigte Nutzer. Weitere Weisungen werden grundsätzlich in Textform über vereinbarte Kontakt- oder Supportwege erteilt. Mündliche Eilweisungen sind unverzüglich zu dokumentieren.
3. Hält dataMatters eine Weisung für datenschutzrechtswidrig, informiert dataMatters den Auftraggeber unverzüglich und darf ihre Ausführung bis zur Bestätigung oder Änderung aussetzen. Besteht trotz Hinweis ein erheblicher Rechtsverstoß fort, bleiben gesetzliche und vertragliche Sperr- und Kündigungsrechte unberührt.
4. Weisungen, die den vereinbarten Leistungsumfang wesentlich überschreiten, können als Zusatzleistung vergütet werden. Gesetzlich geschuldete Unterstützung wird dadurch nicht eingeschränkt.

5. Pflichten von dataMatters

1. dataMatters verarbeitet die Daten nur im vereinbarten Umfang. Alle Beschäftigten haben eine Geheimhaltungsvereinbarung (NDA) unterzeichnet. Auch sonstige zur Verarbeitung befugte Personen werden vor ihrem Zugriff zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht.
2. dataMatters trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen und hält ein dem Risiko angemessenes Schutzniveau aufrecht. Maßnahmen dürfen dem technischen Fortschritt angepasst werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird.
3. dataMatters unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Art. 32 bis 36 DSGVO sowie bei Anfragen betroffener Personen nach Maßgabe dieses Vertrags.
4. dataMatters führt die gesetzlich erforderlichen Verzeichnisse und stellt die für den Nachweis der Pflichten nach Art. 28 DSGVO erforderlichen Informationen bereit. Anfragen von Aufsichtsbehörden zum Auftragsgegenstand werden in Abstimmung mit dem Auftraggeber beantwortet, soweit keine unmittelbare gesetzliche Pflicht von dataMatters besteht.
5. dataMatters nutzt auftragsbezogene Kundendaten nicht für eigene Werbung, Profilbildung, unabhängiges Benchmarking oder eigene Produktentwicklung. Weder dataMatters noch eingesetzte Unterauftragsverarbeiter dürfen diese Daten zum Trainieren oder Verbessern eigener oder fremder KI-Modelle verwenden. Das gilt auch für aus Kundendaten erzeugte anonymisierte Aggregate. Beauftragte Analyse und KI-Inferenz für den Auftraggeber bleiben innerhalb der dokumentierten Weisungen zulässig. Unabhängig von Kundendaten erzeugte synthetische Testdaten sind hiervon nicht erfasst. Eine allgemeine Einwilligung in Produktanalyse hebt die Zweckbindung dieses AVV nicht auf. Bei AWS Bedrock werden Kundeneingaben und Ausgaben nicht für Modelltraining freigegeben; bei direkter Nutzung von Mistral ist die Nutzung für Training und Modellverbesserung deaktiviert (Opt-out). Funktionen, Feedbackübermittlungen oder Testangebote, die diese Zweckbindung nicht einhalten, werden nicht mit Kundendaten genutzt.

6. Berechtigungen und Vertraulichkeit

1. dataMatters beschränkt den Zugriff auf solche Beschäftigten und sonstigen Personen, die ihn für Betrieb, Support, Sicherheit oder die beauftragte Leistung benötigen. Berechtigungen werden rollenbezogen vergeben, regelmäßig überprüft und bei Aufgabenwechsel oder Ausscheiden entzogen.
2. Personen mit Zugriff werden vor Tätigkeitsbeginn angemessen zum Datenschutz und zur Informationssicherheit verpflichtet und geschult. Geheimhaltungs- und Vertraulichkeitspflichten gelten auch nach Ende ihrer Tätigkeit fort.
3. Produktivzugriffe für Support oder Fehleranalyse erfolgen nur durch autorisierte Personen im erforderlichen, dokumentierten Umfang und innerhalb der vereinbarten Zugriffsländer. dataMatters protokolliert Zugriffe und begrenzt sie zeitlich oder sachlich. Der Auftraggeber stellt Testdaten oder anonymisierte Daten bereit, wenn diese für den Zweck genügen. Administrative Berechtigung allein ersetzt weder die Weisung noch eine geografische Zugriffsbeschränkung.

7. Sicherheit der Verarbeitung

1. Die Parteien berücksichtigen bei Auswahl und Bewertung der Maßnahmen insbesondere Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere der Risiken für betroffene Personen.
2. dataMatters schützt insbesondere Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, stellt die Wiederherstellbarkeit nach physischen oder technischen Zwischenfällen sicher und überprüft die Wirksamkeit seiner Maßnahmen regelmäßig. Die konkret zugesagten Maßnahmen ergeben sich aus Anlage 2.
3. Der Auftraggeber ist für die Sicherheit seiner Endgeräte, Netzwerke, Identitätsanbieter, API-Clients, Sensoren und Integrationen sowie für sichere Rollen-, Freigabe- und Schlüsselverwaltung verantwortlich. Gemeinsam genutzte oder kundenseitig betriebene Komponenten werden in der Leistungsvereinbarung abgegrenzt.
4. Beide Parteien melden sicherheitsrelevante Änderungen und Schwachstellen über die vereinbarten Kontaktwege und koordinieren erforderliche Abhilfemaßnahmen ohne unangemessene Verzögerung.

8. Unterauftragsverarbeiter

1. Der Auftraggeber erteilt die allgemeine schriftliche Genehmigung für die im verbindlichen Verarbeitungsverzeichnis nach Anlage 3 benannten Unterauftragsverarbeiter. Weitere Unterauftragsverarbeiter dürfen nur nach dem Verfahren der folgenden Absätze eingesetzt werden. Verlangt eine individuelle Vereinbarung eine vorherige Zustimmung in Textform für jeden neuen Anbieter, gilt stattdessen dieses Verfahren. dataMatters bleibt für die Erfüllung der Datenschutzpflichten seiner Unterauftragsverarbeiter verantwortlich.
2. dataMatters informiert den Auftraggeber mindestens 14 Tage vor einer beabsichtigten Hinzuziehung oder Ersetzung über Vertragsgesellschaft, Leistung, betroffene Daten, Verarbeitungs- und Zugriffsländer innerhalb der Europäischen Union. Der Auftraggeber kann innerhalb dieser Frist aus datenschutzrechtlichen Gründen widersprechen. Ein Wechsel darf keine ausdrücklich vereinbarten Standort-, Zugriffs- oder Zweckbeschränkungen umgehen.
3. Die Parteien bemühen sich bei einem berechtigten Widerspruch um eine zumutbare Alternative. Ist eine Alternative nicht verfügbar oder wirtschaftlich unverhältnismäßig, kann jede Partei die hiervon betroffene Leistung außerordentlich zum Einsatzzeitpunkt beenden; weitergehende Rechte bleiben unberührt.
4. dataMatters legt jedem Unterauftragsverarbeiter vertraglich dieselben einschlägigen Datenschutzpflichten auf, einschließlich Zweckbindung, Verbot von KI-Training und Modellverbesserung, Zugriffsbeschränkungen, Löschung und rechtzeitiger Vorfallinformation. Die Meldewege müssen dataMatters die Einhaltung der Fristen dieses AVV ermöglichen. Hilfsleistungen ohne Zugriffsmöglichkeit auf personenbezogene Daten sind keine Unterauftragsverarbeitung. Eigenständig Verantwortliche und vom Kunden selbst beauftragte Empfänger werden nach ihrer tatsächlichen Rolle gesondert ausgewiesen.

9. Verarbeitungsorte und Ausschluss von Drittlandverarbeitung

1. Die Verarbeitung im Auftrag einschließlich Speicherung, Sicherungskopien sowie administrativer Support- und Fernzugriffe erfolgt ausschließlich innerhalb der Europäischen Union. dataMatters nutzt deutsche Standorte, soweit der betreffende Dienst dort angeboten wird; andernfalls werden ausschließlich Standorte in anderen EU-Mitgliedstaaten genutzt. Für die Plattforminfrastruktur gilt Deutschland (AWS Frankfurt, eu-central-1); für AWS Bedrock je nach Modell Deutschland (eu-central-1) oder Schweden (eu-north-1). Die Zuordnung der weiteren Dienste ergibt sich aus Anlage 3. Eine ausdrücklich vereinbarte Beschränkung auf Deutschland geht vor.
2. Eine Speicherung oder Verarbeitung außerhalb der EU sowie administrative Zugriffe aus Drittstaaten sind ausgeschlossen, auch im Support, bei Störungen oder im Ausnahmebetrieb. Dies gilt für eigenes Personal und eingesetzte Unterauftragsverarbeiter. Allgemeine Transferklauseln, Standardvertragsklauseln oder Angemessenheitsbeschlüsse erweitern diesen Verarbeitungsraum nicht. Nicht zur EU gehörende EWR-Staaten sind nicht eingeschlossen. Dienste, Funktionen und Ausweichwege, die diese Beschränkung nicht erfüllen, dürfen für auftragsbezogene personenbezogene Daten nicht eingesetzt werden.
3. Kundenseitig eingerichtete Integrationen und Datenquellen dürfen den vereinbarten Verarbeitungsraum nicht erweitern. Eine Weisung zur Verarbeitung außerhalb der EU wird nicht im Rahmen dieses AVV ausgeführt. Behördenanfragen werden auf ihre Rechtmäßigkeit einschließlich Art. 48 DSGVO geprüft; dataMatters informiert den Auftraggeber, soweit rechtlich zulässig. Zwingende Pflichten nach Unionsrecht oder dem Recht eines Mitgliedstaats bleiben unberührt.

10. Rechte betroffener Personen

1. Geht bei dataMatters eine Anfrage einer betroffenen Person ein, die erkennbar Kundendaten betrifft, leitet dataMatters sie ohne unangemessene Verzögerung an den Auftraggeber weiter und beantwortet sie nicht selbst, sofern dataMatters nicht gesetzlich dazu verpflichtet oder vom Auftraggeber angewiesen ist.
2. dataMatters unterstützt den Auftraggeber durch geeignete Funktionen und, soweit erforderlich, zusätzliche Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und der Bearbeitung von Entscheidungen nach Art. 22 DSGVO.
3. Der Auftraggeber prüft Identität, Berechtigung, Umfang und Frist der Anfrage. Zusätzlicher Aufwand außerhalb der vereinbarten Standardfunktionen kann nach Aufwand vergütet werden, sofern er nicht auf einer Pflichtverletzung von dataMatters beruht.

11. Datenschutzverletzungen

1. dataMatters informiert den Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, über Sicherheitsvorfälle und Verletzungen des Schutzes personenbezogener Daten, die die auftragsbezogenen Daten oder ihre Verarbeitung betreffen. Die Erstmeldung wartet nicht auf den Abschluss der Untersuchung; noch ungesicherte Erkenntnisse werden als solche gekennzeichnet und nachgereicht. Die Frist läuft unabhängig von Servicezeiten, Wochenenden und Feiertagen. Eine strengere gesetzliche Pflicht zur unverzüglichen Information bleibt unberührt.
2. Die Meldung enthält, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten- und Personengruppen, ungefähre Zahl der Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen sowie eine Ansprechstelle. dataMatters dokumentiert Untersuchung und Abhilfe.
3. dataMatters unterstützt den Auftraggeber angemessen bei dessen Risikoanalyse, Meldungen nach Art. 33 DSGVO und Benachrichtigungen nach Art. 34 DSGVO. Meldungen an Behörden oder Betroffene für den Auftraggeber erfolgen nur auf Weisung, soweit dataMatters nicht selbst gesetzlich verpflichtet ist.
4. Der Auftraggeber meldet dataMatters unverzüglich Vorfälle in seiner Sphäre, die Kundendaten oder die Sicherheit der urbanOS Services berühren, und stellt die für Schutz- und Aufklärungsmaßnahmen erforderlichen Informationen bereit.
5. Zentrale Ansprechstelle für Datenschutz- und Sicherheitsvorfälle ist mail@datamatters.io. Meldungen können rund um die Uhr eingehen. dataMatters organisiert Überwachung, interne Weiterleitung und Vertretung so, dass die unverzügliche Bearbeitung und die 24-Stunden-Frist unabhängig von den Servicezeiten gewährleistet sind. Der Auftraggeber hinterlegt einen aktuellen Empfängerkontakt und eine Vertretung in der Organisationsverwaltung oder teilt diese in Textform mit.

12. Unterstützung und Datenschutz-Folgenabschätzung

1. dataMatters stellt dem Auftraggeber verfügbare Informationen über Architektur, Datenflüsse, Sicherheitsmaßnahmen und Unterauftragsverarbeiter bereit, soweit diese für eine Datenschutz-Folgenabschätzung oder vorherige Konsultation erforderlich sind und keine Rechte Dritter oder Sicherheitsinteressen entgegenstehen.
2. Der Auftraggeber bleibt für Erforderlichkeit, Durchführung und Ergebnis einer Datenschutz-Folgenabschätzung sowie die Konsultation der Aufsichtsbehörde verantwortlich. dataMatters unterstützt im angemessenen Umfang bezogen auf die von dataMatters betriebene Verarbeitung.

13. Nachweise und Kontrollen

1. dataMatters stellt alle Informationen bereit, die erforderlich sind, um die Einhaltung dieses AVV und des Art. 28 DSGVO nachzuweisen. Geeignete aktuelle Zertifikate, Prüfberichte, Sicherheitsfragebögen oder zusammenfassende Auditberichte sollen vorrangig verwendet werden.
2. Der Auftraggeber darf selbst oder durch einen unabhängigen, fachkundigen und zur Vertraulichkeit verpflichteten Prüfer Kontrollen durchführen. Prüfungen sind grundsätzlich mindestens 30 Tage vorher anzukündigen, auf Geschäftszeiten und den erforderlichen Umfang zu beschränken und so durchzuführen, dass Betrieb, Sicherheit, Geheimnisse und Daten anderer Kunden nicht beeinträchtigt werden.
3. Bei konkretem Verdacht eines erheblichen Verstoßes, einem relevanten Datenschutzvorfall oder behördlicher Anordnung ist eine kürzere Frist zulässig. Der Auftraggeber trägt angemessene Kosten zusätzlicher Audits, soweit kein von dataMatters zu vertretender wesentlicher Verstoß festgestellt wird.
4. Festgestellte Abweichungen werden risikogerecht bewertet und innerhalb einer angemessenen Frist behoben. Sicherheitskritische Einzelheiten dürfen in geschützter Form, durch Einsicht ohne Kopie oder gegenüber dem Prüfer offengelegt werden.
5. Kontroll- und Nachweisanfragen richten Sie an mail@datamatters.io. dataMatters koordiniert die Prüfung und benennt für den jeweiligen Vorgang eine verantwortliche Ansprechperson. Eine gesonderte Auditabteilung ist hierfür nicht erforderlich.

14. Rückgabe, Export und Löschung

1. Der Auftraggeber entscheidet nach Ende der Verarbeitungsleistung über Rückgabe oder Löschung der personenbezogenen Daten. dataMatters ermöglicht die vollständige Rückgabe der vom Auftrag erfassten personenbezogenen Daten einschließlich zugehöriger Metadaten, Dateien und übertragbarer Konfigurationen, Dashboards und Regelwerke in vereinbarten offenen, maschinenlesbaren Formaten. Je Datenart kommen insbesondere CSV, Excel, JSON, GeoJSON und XML sowie das ursprüngliche Dateiformat in Betracht. Die Übergabe erfolgt über einen zugriffsgeschützten Download oder einen vereinbarten sicheren Übertragungsweg. Ein allgemeiner Vorbehalt technischer Exportierbarkeit oder ein automatischer Wegfall nach 30 Tagen schränkt diese Pflicht nicht ein. Umfang und Termine der Übergabe werden dokumentiert; während der Übergangsphase darf dataMatters Daten nur für die vereinbarte Übergabe, Sicherung und Löschung verarbeiten.
2. Bei Rückgabe erfolgt die Löschung nach vollständiger Übergabe und Bestätigung durch den Auftraggeber. Nach Löschfreigabe löscht dataMatters die betroffenen Daten unverzüglich, spätestens innerhalb von 14 Kalendertagen aus aktiven Systemen. Für einzeln freigegebene Nutzerkonten gilt die besondere Frist aus Anlage 1; sie verlängert nicht die 14-Tage-Frist bei vollständiger Löschung des Kundenbestands. Der Auftraggeber kann eine frühere Löschung anweisen; zwingende Löschpflichten bleiben unberührt. Eine Anonymisierung anstelle der Rückgabe oder Löschung setzt eine dokumentierte Weisung voraus und begründet kein eigenes Nutzungsrecht. Sicherungskopien werden nach der 30-tägigen Backup-Rotation entfernt, spätestens 30 Kalendertage nach der aktiven Löschung. Bis dahin bleiben gelöschte Daten gegen produktive Nutzung gesperrt; bei einer Wiederherstellung werden dokumentierte Löschungen vor erneuter produktiver Nutzung wieder angewendet.
3. Gesetzlich aufzubewahrende Daten werden von operativen Kundendaten getrennt, für andere Zwecke gesperrt und nach Ablauf der einschlägigen Frist gelöscht. dataMatters dokumentiert Ausnahmen und bestätigt dem Auftraggeber den Abschluss der Löschung einschließlich verbleibender gesetzlicher Ausnahmen und des Zeitplans für noch vorhandene Sicherungskopien. Der Löschungsnachweis nennt Datenumfang, Datum der aktiven Löschung, Abschluss der Backup-Löschung und gegebenenfalls gesetzlich verbleibende Bestände mit Rechtsgrundlage und Löschtermin.
4. Die Vergütung zusätzlicher Arbeiten richtet sich nach der Leistungsvereinbarung und zwingendem Recht. Gesetzlich oder vertraglich geschuldete Rückgabe, Löschung, Exporte und Anbieterwechselunterstützung werden nicht allein wegen ihres Aufwands zu einer Zusatzleistung. Darüber hinausgehende Sonderleistungen bedürfen einer vorherigen Beauftragung. Eine vereinbarte kostenfreie Migration oder Datenrückgabe geht vor.

15. Haftung und Schlussbestimmungen

1. Für die Haftung der Parteien gelten Art. 82 DSGVO, sonstiges zwingendes Recht und ergänzend die Haftungsregelungen der Leistungsvereinbarung. Keine Bestimmung dieses AVV beschränkt Ansprüche betroffener Personen oder behördliche Befugnisse.
2. Änderungen und Ergänzungen dieses AVV bedürfen mindestens der Textform, soweit nicht ein strengeres gesetzliches Formerfordernis gilt. Dies gilt auch für eine Änderung dieser Formklausel.
3. Es gilt deutsches Recht. Eine individuelle Gerichtsstandsvereinbarung geht vor; ansonsten ist Köln Gerichtsstand, soweit gesetzlich zulässig. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.
4. Stand: 10. September 2026.

Anlage 1 – Beschreibung der Auftragsverarbeitung

Daten und Zwecke nach Funktion

Aufbewahrungs- und Löschfristen

Diese Fristen sind Standard-Höchstfristen, keine Mindestaufbewahrung. Frühere berechtigte Löschungen und dokumentierte kürzere Kundenweisungen gehen vor. Gesetzlich erforderliche Aufbewahrung und eine für einen konkreten Rechtsstreit oder Sicherheitsvorfall notwendige Beweissicherung werden begründet, auf die erforderlichen Daten beschränkt und getrennt dokumentiert. Die Bestände bleiben für andere Zwecke gesperrt und werden nach Wegfall des Grundes gelöscht. Bei Wiederherstellung von Backups werden Löschungen vor produktiver Nutzung erneut angewendet.

Anlage 2 – Technische und organisatorische Maßnahmen

dataMatters verpflichtet sich zu den folgenden technischen und organisatorischen Maßnahmen. Diese Anlage ist Bestandteil des AVV. Ergänzungen zur eingesetzten Betriebsumgebung hält dataMatters in der vereinbarten Fassung dieser Anlage fest. Technische Anpassungen dürfen das vereinbarte Schutzniveau nicht unterschreiten.

Anlage 3 – Unterauftragsverarbeiter, externe Empfänger und Verarbeitungsverzeichnis

Diese Anlage enthält die Dienste, ihre Vertragsgesellschaften, Rollen, Aufgaben, Verarbeitungsräume und Datenflüsse. dataMatters führt sie als versioniertes Verarbeitungsverzeichnis innerhalb dieses AVV, ohne separate Aufteilung nach Apps. Es gilt für die jeweils genutzten Dienste. Für die Genehmigung und Änderungen von Unterauftragsverarbeitern gilt Ziffer 8. Die Aufnahme eines externen Empfängers begründet keine pauschale Genehmigung als Unterauftragsverarbeiter. Die ausschließliche EU-Verarbeitung nach Ziffer 9 gilt auch für nachgelagerte Auftragsverarbeiter und deren Supportzugriffe.

Daten übermitteln wir im Umfang der von Ihnen genutzten Leistungen. Karten- und Informationsdienste erhalten die unten beschriebenen Abfragen; von Ihnen angebundene Datenquellen bestimmen Sie in den Integrationseinstellungen. Die Datenschutzerklärung erläutert unsere eigene Website- und Vertragskommunikation.

Bei einem Browserabruf erhält der Anbieter die IP-Adresse und technischen Verbindungsdaten Ihres Endgeräts. Bei einem serverseitigen Abruf erhält er die Verbindungsdaten unseres Servers und die für die Abfrage erforderlichen Parameter. Die einzelnen Datenflüsse beschreibt die folgende Tabelle. Die Anbieteranschriften sind keine Angaben zu Speicher- oder Zugriffsorten; für diese gelten die Vereinbarungen nach Ziffer 9.

Ergänzung zu HERE: Die aktivierbare Gateway-Standortplanung verwendet serverseitig browse.search.hereapi.com. Übermittelt werden Kartenbereich, Einrichtungskategorien und Server-Verbindungsdaten, keine weitergeleiteten Nutzer-IP-Adressen, Organisationskennungen oder Sensormesswerte. Verfügbare Gebäudehöhen stammen aus bereits geladenen HERE-Vektorkarten. Ergebnisse und Kandidaten verbleiben nur vorübergehend im geöffneten Planungsfenster.

CloudRF-Admin-Pilot: Plattform-Administratoren können Funkabdeckung über api.cloudrf.com berechnen. Unsere Server übermitteln Standortkoordinaten bestehender oder geplanter Gateways, Funk- und Antennenparameter sowie technische Server-Verbindungsdaten. Sensorpositionen, Messwerte, Gerätekennungen, Organisationsnamen und Nutzer-IP-Adressen werden nicht weitergeleitet. Der Sensorvergleich erfolgt lokal im Browser. CloudRF gibt Serverstandorte in Großbritannien an und speichert Berechnungen nach seinen tarifabhängigen Aufbewahrungsbedingungen. Ergebnisse mit Abdeckungsbild, Legende und Berechnungszeit werden in der bestehenden Supabase-Datenbank organisationsbezogen dauerhaft gespeichert, bis sie ersetzt oder gelöscht werden. Zugriff haben ausschließlich Plattform-Administratoren. Bei unveränderten Einstellungen können die Ergebnisse ohne erneute Berechnung wiederverwendet werden. Berechnungen erfolgen nur nach ausdrücklicher Auslösung; der Pilot ist nicht für andere Nutzer freigegeben.