Auftragsverarbeitungsvertrag mit Anlagen

Dieses Dokument enthält den service-neutralen Master-AVV und die dazugehörigen Processing Specifications sowie technischen und organisatorischen Maßnahmen. Eine Processing Specification gilt nur, wenn sie im Angebot, in der Auftragsbestätigung oder in einer sonstigen Vereinbarung ausdrücklich für die konkrete Leistung einbezogen ist.

Dokumentstatus: FINAL. Diese Rahmenfassung enthält bewusst ausfüllbare Kunden- und Projektfelder in A-03 und A-04. Solche Felder sind Aktivierungsparameter und kein offener Prüfstatus des Master-AVV. Aktuelle Provider- und Unterauftragsverarbeiterangaben werden über die jeweils einbezogene Processing Specification und P-06 konkretisiert.

Dokumentaufbau und Aktivierung

Innerhalb der AVV-Ebene gilt: Die konkrete Processing Specification konkretisiert den Master-AVV; der anwendbare TOM Annex konkretisiert die TOM Baseline. Der Vorrang dieser AVV-Ebene ist auf datenschutzrechtliche Regelungen zur Verarbeitung im Auftrag beschränkt. Vergütung, Leistungsumfang, Laufzeit, Gewährleistung und Haftung richten sich nach dem kommerziellen Vertragswerk.

1. Master-Auftragsverarbeitungsvertrag

P-04 · Service-neutraler Rahmen gemäß Art. 28 DSGVO

Vertragsparteien

§ 1 Gegenstand, Geltungsbereich und Rangfolge

(1) Dieser Auftragsverarbeitungsvertrag regelt die Verarbeitung personenbezogener Daten durch ATOKI im Auftrag des Kunden. Er gilt nur, soweit ATOKI für einen in einer aktivierten Processing Specification beschriebenen Zweck als Auftragsverarbeiter tätig wird.

(2) Gegenstand, Art und Zweck der Verarbeitung, Kategorien personenbezogener Daten, Kategorien betroffener Personen und die Dauer ergeben sich aus der jeweils aktivierten Processing Specification. Der Hauptvertrag bestimmt die zugrunde liegende Leistung.

(3) Bei Widersprüchen innerhalb der AVV-Ebene gilt für Fragen der Auftragsverarbeitung folgende Rangfolge: dieser Master-AVV, konkretisiert durch die aktivierte Processing Specification, die TOM Baseline mit dem anwendbaren TOM Annex und die Anlage zu den Weisungsberechtigten. Eine speziellere Regelung der Processing Specification oder des TOM Annex geht der allgemeineren Rahmenregelung vor.

(4) Der Vorrang der AVV-Ebene ist auf datenschutzrechtliche Regelungen zur Verarbeitung im Auftrag beschränkt. Das kommerzielle Vertragswerk bleibt insbesondere für Leistungsumfang, Vergütung, Laufzeit, Gewährleistung und Haftung maßgeblich.

§ 2 Dauer und Beendigung der Verarbeitung

(1) Dieser AVV tritt mit seiner wirksamen Einbeziehung und der Aktivierung mindestens einer Processing Specification in Kraft. Er gilt für die Dauer der betreffenden Verarbeitung im Auftrag.

(2) Endet die zugrunde liegende Leistung oder entfällt die Auftragsverarbeitung für einen bestimmten Zweck, endet die entsprechende Processing Specification. Fortwirkende Rückgabe-, Lösch-, Nachweis-, Vertraulichkeits- und Kontrollpflichten bleiben unberührt.

§ 3 Weisungen des Kunden

(1) ATOKI verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich hinsichtlich einer Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern ATOKI nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet ist. In diesem Fall teilt ATOKI dem Kunden die rechtliche Anforderung vor der Verarbeitung mit, soweit das betreffende Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

(2) Die bei Vertragsschluss dokumentierten Weisungen ergeben sich aus dem Hauptvertrag, der aktivierten Processing Specification, zulässigen Konfigurationen sowie ergänzenden Weisungen der in A-04 benannten Personen. Ergänzende Weisungen sollen zur eindeutigen Zuordnung in Textform oder über einen vereinbarten authentisierten technischen Kanal erfolgen.

(3) ATOKI informiert den Kunden unverzüglich, wenn ATOKI der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt. ATOKI darf die Ausführung der betroffenen Weisung bis zur Klärung aussetzen, soweit dies erforderlich ist.

(4) Erweiterungen, die den vereinbarten Leistungsgegenstand überschreiten oder technisch nicht vom vereinbarten Dienst umfasst sind, bedürfen einer gesonderten Vereinbarung. Das gesetzliche Weisungsrecht wird dadurch nicht eingeschränkt.

§ 4 Pflichten von ATOKI und Vertraulichkeit

(1) ATOKI stellt sicher, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und personenbezogene Daten nur im erforderlichen Umfang verarbeiten.

(2) ATOKI unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ATOKI zur Verfügung stehenden Informationen bei der Erfüllung der Pflichten des Kunden nach den Artikeln 32 bis 36 DSGVO sowie nach Maßgabe der §§ 6 bis 8 dieses AVV.

(3) ATOKI führt die für ATOKI als Auftragsverarbeiter gesetzlich erforderlichen Verzeichnisse und stellt dem Kunden die für dessen Nachweisführung erforderlichen Informationen im vereinbarten und gesetzlich gebotenen Umfang zur Verfügung.

§ 5 Sicherheit der Verarbeitung

(1) ATOKI trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO.

(2) Die vereinbarten Maßnahmen ergeben sich aus der TOM Baseline P-05 und dem für die aktivierte Processing Specification anwendbaren TOM Annex. Produkt- oder servicebezogene Maßnahmen gelten nicht automatisch für andere ATOKI-Leistungen.

(3) ATOKI darf Maßnahmen an technische Entwicklungen anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden nachvollziehbar dokumentiert.

§ 6 Unterstützung bei Betroffenenrechten

(1) ATOKI unterstützt den Kunden angesichts der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen dabei, Anträge betroffener Personen auf Ausübung ihrer Rechte zu beantworten, soweit dies möglich und für die Auftragsverarbeitung erforderlich ist.

(2) Geht ein Antrag einer betroffenen Person unmittelbar bei ATOKI ein und betrifft er eine Verarbeitung im Auftrag, leitet ATOKI ihn ohne unangemessene Verzögerung an den Kunden weiter und nimmt ohne Weisung keine inhaltliche rechtliche Entscheidung für den Kunden vor, soweit keine gesetzliche Verpflichtung entgegensteht.

(3) Der Kunde bleibt für die rechtliche Bewertung, Fristberechnung, Identitätsprüfung, Entscheidung und Kommunikation gegenüber der betroffenen Person verantwortlich. Produktfunktionen oder Evidence-Artefakte ersetzen diese Verantwortung nicht.

§ 7 Unterstützung bei Sicherheit, Folgenabschätzung und Konsultation

(1) ATOKI unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Gewährleistung der Sicherheit der Verarbeitung, der Bewertung von Datenschutzverletzungen, der Durchführung einer Datenschutz-Folgenabschätzung und einer erforderlichen vorherigen Konsultation.

(2) Die Unterstützung umfasst die Bereitstellung vorhandener, für den konkreten Verarbeitungsscope geeigneter technischer und organisatorischer Informationen. Eine eigene rechtliche Bewertung oder Entscheidung des Kunden wird nicht übernommen.

§ 8 Verletzungen des Schutzes personenbezogener Daten

(1) ATOKI informiert den Kunden ohne unangemessene Verzögerung über eine ATOKI bekannt gewordene Verletzung des Schutzes personenbezogener Daten, soweit sie die Verarbeitung im Auftrag betrifft.

(2) ATOKI stellt die verfügbaren Informationen bereit, die der Kunde für die Erfüllung seiner Pflichten nach den Artikeln 33 und 34 DSGVO benötigt. Soweit Informationen noch nicht vollständig vorliegen, können sie schrittweise ergänzt werden.

(3) Die rechtliche Bewertung und eine Meldung an Aufsichtsbehörden oder betroffene Personen obliegen dem Kunden, soweit ATOKI nicht aufgrund eigener gesetzlicher Pflichten selbst handeln muss.

§ 9 Unterauftragsverarbeiter

(1) Der Kunde erteilt ATOKI die allgemeine Genehmigung, Unterauftragsverarbeiter für die aktivierte Auftragsverarbeitung einzusetzen. Die jeweils einbezogene Liste oder Processing Specification bezeichnet die bestätigten Unterauftragsverarbeiter, sobald die zugehörigen Provider- und Vertragsfakten verifiziert sind.

(2) ATOKI informiert den Kunden grundsätzlich mindestens vier Wochen vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann innerhalb von vier Wochen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen.

(3) Erfordert ein dokumentierter Sicherheits-, Betriebs- oder gesetzlicher Notfall einen Einsatz ohne Einhaltung der Vorlauffrist, darf ATOKI ausnahmsweise früher handeln. ATOKI informiert den Kunden so früh wie möglich, dokumentiert den Notfallgrund und erhält das Widerspruchsrecht des Kunden aufrecht.

(4) ATOKI legt dem Unterauftragsverarbeiter durch Vertrag im Wesentlichen dieselben Datenschutzpflichten auf, die nach diesem AVV gelten, soweit sie für die jeweilige Leistung anwendbar sind. Erfüllt der Unterauftragsverarbeiter seine Datenschutzpflichten nicht, bleibt ATOKI dem Kunden gegenüber nach Art. 28 Abs. 4 DSGVO verantwortlich.

(5) Die Parteien prüfen einen fristgerecht begründeten Widerspruch kooperativ. Bis zur Klärung wird die beanstandete geplante Änderung nicht umgesetzt, soweit keine dokumentierte Notfallsituation nach Absatz 3 oder zwingende gesetzliche Pflicht entgegensteht.

(6) Kann ein berechtigter datenschutzrechtlicher Widerspruch nicht durch eine zumutbare Alternative oder andere geeignete Maßnahme gelöst werden, kann der Kunde ausschließlich die von dem beanstandeten Unterauftragsverarbeiter konkret betroffene Leistung für die Zukunft ohne Nachteil beenden. Eine weitergehende allgemeine Kündigungsregel wird dadurch nicht begründet.

§ 10 Drittlandübermittlungen

(1) ATOKI veranlasst eine Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation nur auf dokumentierte Weisung des Kunden und unter Einhaltung der anwendbaren Vorgaben des Kapitels V DSGVO oder aufgrund einer gesetzlichen Verpflichtung gemäß § 3 Abs. 1.

(2) Provider, Verarbeitungsregionen, Drittlandbezug und der jeweils anwendbare Übermittlungsmechanismus werden servicebezogen dokumentiert. Dieser Master-AVV enthält keine pauschale Standort- oder Transferzusage.

§ 11 Information und Kontrollen

(1) ATOKI stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Kontrollen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Vertraulichkeit verpflichteten Prüfer.

(2) Die Parteien nutzen grundsätzlich ein abgestuftes Prüfverfahren: zunächst geeignete Dokumentationen, Auskünfte, Nachweise oder vorhandene Prüfberichte; sodann erforderlichenfalls eine Remote-Prüfung; und, wenn der Prüfzweck anders nicht angemessen erreicht werden kann, eine Vor-Ort-Inspektion. Die Vorlage eines Berichts ersetzt ein gesetzlich erforderliches weitergehendes Kontrollrecht nicht.

(3) Ordentliche Kontrollen werden grundsätzlich mit mindestens vier Wochen Vorlauf angekündigt, während üblicher Geschäftszeiten durchgeführt und in der Regel auf eine Kontrolle pro Kalenderjahr beschränkt. Betriebs-, Sicherheits- und Vertraulichkeitsinteressen von ATOKI sowie Rechte anderer Kunden sind angemessen zu schützen.

(4) Die Beschränkungen des Absatzes 3 gelten nicht bei einem Datenschutz- oder Sicherheitsvorfall, einem substantiierten Verdacht auf eine erhebliche Pflichtverletzung oder einer Anforderung einer zuständigen Aufsichtsbehörde. Gesetzliche Befugnisse der Aufsichtsbehörden bleiben unberührt.

§ 12 Rückgabe und Löschung

(1) Nach Abschluss der Verarbeitung löscht ATOKI nach Wahl des Kunden alle personenbezogenen Daten, die im Auftrag verarbeitet wurden, oder gibt sie dem Kunden zurück und löscht vorhandene Kopien, sofern nicht das Unionsrecht oder das Recht eines Mitgliedstaats eine Speicherung verlangt.

(2) ATOKI setzt die Rückgabe oder Löschung operativer Kundendaten grundsätzlich innerhalb von 30 Tagen nach Ende der Verarbeitung oder nach Abschluss eines vereinbarten Export- oder Offboarding-Prozesses um. Diese Frist ist eine vertragliche operative Zielvorgabe von ATOKI und keine gesetzliche Frist der DSGVO.

(3) Personenbezogene Daten in rotierenden Vollsystem-Sicherungen werden im Rahmen der dokumentierten Überschreibungs- und Löschzyklen entfernt, soweit eine selektive Löschung technisch nicht ohne Beeinträchtigung der Sicherungsintegrität möglich ist. Bis dahin bleiben sie gegen produktive Nutzung geschützt; bei einer erforderlichen Wiederherstellung werden die anwendbaren Löschanforderungen erneut berücksichtigt. Konkrete Sicherungsfristen ergeben sich nur aus belegten servicebezogenen Unterlagen.

(4) Soweit ATOKI Daten nach Ende der Auftragsverarbeitung für eigene Zwecke der Rechtsverteidigung oder aufgrund eigener gesetzlicher Pflichten verarbeitet, erfolgt dies als gesonderte Verarbeitung in eigener Verantwortlichkeit mit eigener Zweckbestimmung, Rechtsgrundlage, Datenminimierung und Aufbewahrungsregel. Dies ist keine automatische Fortsetzung der Verarbeitung im Auftrag.

(5) Ein aktiver, dokumentierter Legal Hold auf Weisung des Kunden darf die routinemäßige Rückgabe oder Löschung nur innerhalb seines dokumentierten Scopes und nur für seine Dauer aussetzen. Nach Wegfall des Legal Hold wird der reguläre Rückgabe- und Löschprozess wieder aufgenommen. Eine pauschale oder unbefristete Aufbewahrung wird dadurch nicht begründet.

§ 13 Verantwortlichkeit des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung, die Zulässigkeit seiner Weisungen, die Information betroffener Personen und die Erfüllung seiner sonstigen Pflichten als Verantwortlicher zuständig.

(2) Der Kunde informiert ATOKI über besondere Risiken, Schutzbedarfe oder Verarbeitungen besonderer Kategorien personenbezogener Daten, soweit dies für die Auswahl und Durchführung geeigneter Maßnahmen erforderlich ist.

§ 14 Haftung und kommerzielle Regelungen

(1) Für die Haftung der Parteien gelten die Regelungen des Hauptvertrags und der ATOKI Master AGB P-03 Version 1.2, soweit zwingendes Datenschutzrecht nichts anderes bestimmt. Dieser AVV begründet keine eigenständige konkurrierende Haftungsordnung.

(2) Vergütung und Aufwand für zusätzliche, nicht bereits vom vereinbarten Leistungsumfang erfasste Unterstützungsleistungen richten sich nach dem Hauptvertrag oder einer gesonderten Vereinbarung; zwingende gesetzliche Pflichten bleiben unberührt.

§ 15 Schlussregelungen

(1) Änderungen der in A-04 benannten Personen und Kontaktdaten können nach dem dort festgelegten Verfahren dokumentiert werden, ohne den Master-AVV neu abzuschließen. Änderungen des materiellen Verarbeitungsscope bedürfen einer entsprechenden Aktualisierung der Processing Specification.

(2) Sollten einzelne Regelungen dieses AVV unwirksam sein oder werden, bleiben die übrigen Regelungen unberührt. Zwingende gesetzliche Vorschriften bleiben unberührt.

Unterzeichnung / Einbeziehung

2. Processing Specification ATOKI Control

A-01 · Gilt nur bei ausdrücklicher Einbeziehung

Evidence-Grenze: Die aktuelle technische Systembeschreibung ist der Final System Release & Acceptance Record vom 28.08.2026. Kommerzielle Paket-, Tenant- oder Anfragegrenzen werden daraus nicht abgeleitet.

A-01.1 Gegenstand, Dauer und Rollen

(1) ATOKI verarbeitet im Auftrag personenbezogene Daten, die der Kunde zur Nutzung von ATOKI Control bereitstellt oder die bei der weisungsgemäßen Nutzung der Plattform entstehen. Die Verarbeitung dient der technischen Unterstützung von Datenschutzanfragen, Entscheidungs-, Ausführungs-, Audit- und Evidence-Prozessen.

(2) Die Verarbeitung dauert für die Laufzeit der einbezogenen Control-Leistung zuzüglich eines vereinbarten Export-, Rückgabe- und Löschzeitraums. Abweichende Aufbewahrungen richten sich ausschließlich nach dokumentierten Standardfristen, dokumentierten vertraglichen oder organisatorischen Ausnahmen und den Regeln des Master-AVV.

(3) Der Kunde trifft die rechtlichen und fachlichen Entscheidungen, insbesondere über Rechtsgrundlagen, Fristen, Identitätsprüfung, Umfang, Genehmigung oder Ablehnung, Kommunikation, Retention und Legal Hold. ATOKI stellt die vereinbarte technische Ausführungs- und Nachweisoberfläche bereit und übernimmt keine Rechtsberatung.

A-01.2 Zwecke und Verarbeitungsvorgänge

A-01.3 Kategorien betroffener Personen

• Personen, die gegenüber dem Kunden Datenschutz- oder Betroffenenrechtsanfragen stellen oder von solchen Vorgängen betroffen sind
• Kunden, Interessenten, Beschäftigte, ehemalige Beschäftigte, Bewerber, Lieferantenkontakte und sonstige Personen aus den Verantwortungsbereichen des Kunden, soweit der Kunde entsprechende Daten einbringt
• Nutzer, Operatoren, Administratoren und Ansprechpartner des Kunden

A-01.4 Kategorien personenbezogener Daten

A-01.5 Systeme, technische Komponenten und Empfänger

Aktuelle Provider, Verarbeitungsregionen, Unterauftragsverarbeiter und etwaige Drittlandmechanismen werden für den aktivierten Scope in der jeweils aktuellen Dienstleister- und Unterauftragsverarbeiterübersicht P-06 und, soweit erforderlich, im Angebot oder in der Processing Specification dokumentiert.

A-01.6 Weisungen, Zugriffe und Evidence-Grenzen

(1) Weisungen werden durch die in A-04 benannten Personen erteilt. Produktkonfigurationen gelten nur insoweit als Weisung, wie sie vom vereinbarten Scope umfasst und einer weisungsberechtigten Person zurechenbar sind.

(2) Ein Control Evidence Bundle besteht im bestätigten Modell aus metadata.json, decision.json, execution.json und audit.json. Struktur und Claim-Grenzen werden ergänzend in der Evidence Bundle Reference v1.2 (C-04) beschrieben. Die Artefakte dokumentieren System-, Entscheidungs- und Ausführungsschritte, sind aber weder rechtliche Wahrheitsgarantie noch externer Zustell- oder Kommunikationsnachweis.

(3) Audit- und Evidence-Daten werden nach dem Prinzip der Datenminimierung geführt. Eine technische Unveränderlichkeit, WORM-Speicherung oder Object-Lock-Funktion wird nicht zugesagt.

A-01.7 Retention, Rückgabe und Löschung

(1) Retention wird über dokumentierte Standardperioden und dokumentierte vertragliche oder organisatorische Ausnahmen gesteuert. Eine freie, beliebige oder pauschal mandantenspezifisch konfigurierbare Retention wird nicht zugesagt.

(2) Operative Daten, Evidence-Artefakte, Audit-Daten, Legal-Hold-Sachverhalte und Sicherungen werden nach ihrer jeweiligen Funktion behandelt. Die Deaktivierung eines Mandanten ist keine Löschung.

(3) Nach Ende der Auftragsverarbeitung gelten § 12 des Master-AVV und das Control-Löschkonzept (C-01), soweit dessen Aussagen durch aktuelle Runtime-Evidence gedeckt sind.

Konkrete interne Runtime-Retentionfristen oder eine freie bzw. mandantenspezifische Konfigurierbarkeit werden nicht als Produkteigenschaft zugesagt. Für die Dauer der Auftragsverarbeitung und die Rückgabe bzw. Löschung gelten A-01.1, A-01.7 und § 12 dieses Master-AVV.

A-01.8 Anwendbare TOM

Es gelten die TOM Baseline P-05 und zusätzlich der TOM Annex ATOKI Control A-05 in der einbezogenen Fassung.

3. Processing Specification Managed Hosting

A-02 · Zweckbezogene Rollenabgrenzung für Website-Betrieb

A-02.1 Gegenstand und Dauer

(1) ATOKI verarbeitet im Auftrag personenbezogene Daten, soweit dies zur Bereitstellung, technischen Auslieferung, Sicherung und Wiederherstellung der Kundenwebsite sowie zur Bearbeitung vereinbarter Kontaktwege für den Kunden erfolgt.

(2) Die Verarbeitung dauert für die Laufzeit des einbezogenen Managed Hosting zuzüglich eines vereinbarten Export-, Rückgabe- und Löschzeitraums. Mailbox- oder E-Mail-Dienste sind nur umfasst, wenn sie ausdrücklich vereinbart wurden.

A-02.2 Zweckbezogene Rollenabgrenzung

(3) Dieselbe technische Logquelle kann für verschiedene Zwecke verarbeitet werden. Die datenschutzrechtliche Rolle wird nach dem konkreten Zweck und nicht pauschal nach Datei, System oder Dienst bestimmt.

A-02.3 Zwecke und Verarbeitungsvorgänge im Auftrag

• Speichern, Bereitstellen, Übertragen und Ausliefern von Website-Inhalten
• Entgegennehmen und vereinbarungsgemäßes Weiterleiten von Kontaktinhalten
• Technische Administration, Fehleranalyse, Wartung und Sicherheitsmaßnahmen für die konkrete Kundenwebsite
• Erstellen, Vorhalten, Prüfen und erforderlichenfalls Wiederherstellen von Sicherungskopien im vereinbarten und belegten Scope
• Führen und Auswerten erforderlicher technischer Logs, soweit dies ausschließlich dem Kundenauftrag dient

A-02.4 Betroffene Personen und Datenkategorien

A-02.5 Provider, Orte und Übermittlungen

A-02.6 Retention, Rückgabe und Löschung

(1) Website-Inhalte werden für die Dauer des Managed Hosting und bis zum Abschluss eines vereinbarten Exports oder Offboardings verarbeitet. Danach gilt § 12 des Master-AVV.

(2) Technische Logs werden nur so lange verarbeitet, wie es für den jeweiligen dokumentierten Zweck erforderlich ist. Solange die produktive Rotation und Aufbewahrung nicht verifiziert ist, gilt keine konkrete Fristzusage.

(3) Sicherungen folgen dem dokumentierten Backup- und Überschreibungsmodell. Eine konkrete Sicherungsdauer oder Wiederherstellungszusage gilt nur, soweit sie im Angebot oder durch aktuelle technische Evidence bestätigt ist.

(4) Soweit eine Mailbox oder Mailweiterleitung vereinbart ist, richtet sich die Aufbewahrung nach der verifizierten Konfiguration und den Weisungen des Kunden. Ohne diese Verifikation wird keine feste Aufbewahrungsfrist zugesagt.

Provider- und Regionsangaben werden bei Aktivierung über P-06, die Processing Specification oder die dazugehörigen Vertragsunterlagen konkretisiert. Technische Logs und Sicherungen werden zweck- und erfordernisbezogen nach dem dokumentierten Betriebsmodell behandelt. Mailbox- oder E-Mail-Dienste sind nur bei ausdrücklicher gesonderter Vereinbarung Teil des Managed Hosting.

A-02.7 Weisungen und anwendbare TOM

(1) Weisungen werden durch die in A-04 benannten Personen erteilt. DNS-, Domain- und E-Mail-bezogene Änderungen setzen die im Hauptvertrag vorgesehenen Informationen und Freigaben voraus.

(2) Es gelten die TOM Baseline P-05 und zusätzlich der TOM Annex Website / Managed Hosting A-06.

4. Processing Specification Projekt / Migration

A-03 · Bedingte Vorlage — nicht automatisch aktiviert

AKTIVIERUNGSVORAUSSETZUNG – Diese Anlage darf nur einbezogen werden, wenn eine dokumentierte Rollenprüfung für den konkreten Projektzugriff und Zweck ergibt, dass ATOKI als Auftragsverarbeiter handelt. Sie ist vollständig projektspezifisch auszufüllen und ist kein Standardanhang für sämtliche Entwicklungsprojekte.

A-03.1 Projektbezogene Regeln

(1) Zugriffe werden auf die für den dokumentierten Zweck erforderlichen Systeme, Daten und Zeiträume beschränkt. Soweit möglich, werden Test-, Beispiel- oder anonymisierte Daten verwendet.

(2) Produktivdaten werden nur verarbeitet, wenn dies für den vereinbarten Projektzweck erforderlich, vom dokumentierten Scope umfasst und vom Kunden angewiesen ist.

(3) Nach Abschluss des Projekts werden projektbezogene Kopien, Exporte, temporäre Arbeitsstände und Zugänge nach der ausgefüllten Lösch- und Rückgaberegel behandelt. Allgemeine Sicherungs- und Nachlaufregeln des Master-AVV bleiben unberührt.

5. Weisungsberechtigte Personen

A-04 · Änderbare Kontaktanlage

A-04.1 Weisungsberechtigte Personen des Kunden

A-04.2 Kontakte bei ATOKI

A-04.3 Änderungsverfahren

(1) Der Kunde kann die Weisungsberechtigten durch Mitteilung in Textform an den verifizierten ATOKI-Kontakt ändern. Die Änderung wird mit bestätigtem Zugang oder zu einem später benannten Zeitpunkt wirksam.

(2) ATOKI darf bei Zweifeln an Identität oder Berechtigung eine angemessene Verifikation verlangen und die Weisung bis zur Klärung aussetzen, soweit dies zum Schutz der verarbeiteten Daten erforderlich ist.

(3) Änderungen dieser Kontaktanlage erfordern keine Neuunterzeichnung des Master-AVV. Sie werden mit Versionsdatum dokumentiert und den Parteien nachvollziehbar bereitgestellt.

6. Technische und organisatorische Maßnahmen — Baseline

P-05 · Service-neutrale Maßnahmen gemäß Art. 32 DSGVO

Evidence-Limitierung: Eine Maßnahme wird nur in dem Umfang zugesagt, in dem sie für den aktivierten Service nach aktueller Runtime-, Provider- oder Dokumentationsevidence belegt ist. Diese Baseline enthält keine Control-spezifische RLS-, Tenant- oder Evidence-Implementierungszusage.

P-05.1 Grundsätze

(1) Die Auswahl und Ausgestaltung der Maßnahmen erfolgt risikoorientiert unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung.

(2) Physische Rechenzentrumssicherheit wird durch die jeweils eingesetzten und verifizierten Hosting- oder Infrastrukturprovider erbracht. ATOKI behauptet keine eigenen Rechenzentrumsmaßnahmen und keine bestimmte Region ohne bestätigte Providerdaten.

(3) Produkt- oder servicespezifische Maßnahmen und Evidenzgrenzen ergeben sich aus dem anwendbaren TOM Annex.

P-05.2 Maßnahmenkatalog

P-05.3 Externe KI- und Provider-Payloads

(1) Datenübermittlungen an externe KI- oder sonstige Provider werden auf den dokumentierten Zweck und den erforderlichen Umfang begrenzt. Ein nicht geklärter Provider- oder Verarbeitungsstatus wird nicht als Freigabe behandelt.

(2) Besondere Kategorien personenbezogener Daten, Gesundheitsdaten, Zahlungsdaten, Geheimnisse, Zugangsdaten und Credentials dürfen nicht an externe KI- oder Providerdienste übermittelt werden, soweit dies nicht nach dokumentierter Rollen-, Vertrags-, Sicherheits- und Zweckprüfung erforderlich und zulässig ist.

(3) Quellinhalte oder Assets Dritter werden nicht allein deshalb an einen Provider übermittelt, weil sie technisch verfügbar sind. Die jeweilige Service- und Provider-Governance bleibt maßgeblich.

P-05.4 Überprüfung und Änderungen

(1) ATOKI überprüft die Maßnahmen anlassbezogen, bei wesentlichen technischen Änderungen und regelmäßig im Rahmen der dokumentierten Sicherheits- und Betriebsprüfung.

(2) Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten. Wesentliche Änderungen werden versioniert und dem Kunden im Rahmen der anwendbaren Informationspflichten bereitgestellt.

7. TOM Annex ATOKI Control

A-05 · Ergänzung zur TOM Baseline P-05

Dieser Annex gilt ausschließlich für ATOKI Control. Aussagen beruhen auf dem Release- und Acceptance-Stand vom 28.08.2026 und den referenzierten Control-Unterlagen. Künftige Releases sind gesondert zu dokumentieren.

A-05.1 Architektur- und Zugriffsschutz

A-05.2 Audit und Evidence

A-05.3 Übertragung, Sicherung und Wiederherstellung

(1) Operative Client-Server-Übertragungen erfolgen im bestätigten Scope über geschützte Transportverbindungen. Zugangsschlüssel und Credentials werden kontrolliert verwaltet und nicht als reguläre Logdaten geführt.

(2) Für den bestätigten Control-Stand bestehen dokumentierte lokale und Offsite-Sicherungsebenen sowie ein getrennter minimierter Audit-Proof-Layer. Verschlüsselungs- und Retention-Aussagen gelten nur im jeweils evidenzierten Layer und Zeitraum.

(3) Ein Restore Drill hat die Wiederherstellung von PostgreSQL und eines dazu passenden kanonischen Evidence Bundles im getesteten Scope bestätigt. Daraus folgt keine pauschale Garantie für jede historische Wiederherstellungssituation.

(4) Backups, Hashwerte und Offsite-Synchronisation begründen keine WORM-, Object-Lock- oder technisch unveränderliche Speicherung. Backup-Existenz ist nicht gleichbedeutend mit allgemeiner Recovery-Fähigkeit.

A-05.4 DLM, Retention und Legal Hold

(1) DLM-Schritte folgen im bestätigten Betriebsmodell einer dokumentierten Reihenfolge aus Klassifikation, Lösch-/Anonymisierungs- bzw. Purge-Schritten, Backup Gate und Integritätsnachweis. Konkrete Runtime-Wirkung wird nur aufgrund aktueller Evidence behauptet.

(2) Legal Hold kann Lösch- oder Purge-Schritte im dokumentierten Scope blockieren. Eine Entity-Level-Legal-Hold-Funktion wird nicht zugesagt; die bestätigte Grenze bleibt zu beachten.

(3) Retention-Angaben bleiben nach A-01 evidence-bound. Der Annex begründet keine freie Konfigurierbarkeit und keine pauschale langfristige Aufbewahrung personenbezogener Evidence-Artefakte.

A-05.5 Monitoring, Änderungen und Nachweise

(1) Technische Monitoring-, Health-, Backup-, Restore- und Kontrollprüfungen unterstützen den Betrieb. Reaktions- oder Verfügbarkeitszusagen ergeben sich ausschließlich aus dem kommerziellen Vertragswerk.

(2) Änderungen an Runtime-, Datenbank-, Workflow- oder Evidence-Semantik werden kontrolliert geprüft und dokumentiert. Dieser Annex wird bei einer materiellen Änderung des bestätigten Scopes aktualisiert.

(3) Als kundengeeignete Nachweise kommen die TOM Baseline, dieser Annex, eine aktuelle Evidence-Übersicht und auf Anfrage die Evidence Bundle Reference v1.2 in Betracht. Interne Implementierungs-, Acceptance-, Operator- und Runtime-Unterlagen sind keine allgemeinen vertraglichen Liefergegenstände.

8. TOM Annex Website / Managed Hosting

A-06 · Ergänzung zur TOM Baseline P-05

Dieser Annex gilt nur für Website- und Managed-Hosting-Verarbeitungen. Control-spezifische RLS-, Tenant- und Evidence-Maßnahmen werden nicht übertragen.

A-06.1 Kunden- und Zugriffstrennung

(1) Kundeninhalte und Konfigurationen werden innerhalb der eingesetzten Hosting- und Deployment-Struktur logisch zugeordnet. Administrative Zugriffe sind auf autorisierte Personen und den erforderlichen Umfang beschränkt.

(2) Geteilte oder kontrolliert gemeinsam genutzte Infrastruktur ist zulässig, sofern die logische Kunden- und Zugriffsgrenze gewahrt bleibt. Eine dedizierte physische Infrastruktur wird nur geschuldet, wenn sie ausdrücklich vereinbart ist.

A-06.2 Hosting, Transport und physische Sicherheit

A-06.3 DNS- und MX-Schutzmaßnahmen

(1) Vor produktiven DNS-Änderungen werden die relevanten DNS-Einträge dokumentiert und auf erkennbare Abhängigkeiten geprüft.

(2) Vorhandene MX- und E-Mail-bezogene Einträge werden geprüft und erhalten, soweit ihre Änderung nicht ausdrücklich vereinbart und technisch abgestimmt ist.

(3) Für den geplanten Änderungszeitraum wird eine angemessene Rückfallmöglichkeit vorbereitet. Der Kunde stellt erforderliche Zugänge und Informationen zu bekannten Kopplungen bereit.

A-06.4 Monitoring, Logs und Vorfälle

(1) ATOKI setzt für den vereinbarten Betriebsumfang technische Verfügbarkeits- und Fehlerüberwachung sowie übliche Health- und Kontrollprüfungen ein. Eine numerische Uptime- oder 24/7-Reaktionszusage ergibt sich hieraus nicht.

(2) Technische Logs werden zugriffsbeschränkt und zweckbezogen verarbeitet. Ob ATOKI dabei Auftragsverarbeiter oder eigener Verantwortlicher ist, richtet sich nach A-02 und dem konkreten Zweck, nicht nach der Logdatei als solcher.

(3) Sicherheits- und Datenschutzvorfälle werden erkannt, analysiert, dokumentiert und mit geeigneten Gegenmaßnahmen behandelt. Für Vorfälle im Auftragsverarbeitungsscope gilt § 8 des Master-AVV.

Für technische Logs wird keine feste vertragliche Aufbewahrungsfrist zugesagt. Sie werden zugriffsbeschränkt und nur so lange verarbeitet, wie dies für den jeweiligen dokumentierten Betriebs-, Sicherheits- oder Kundenauftragszweck erforderlich ist.

A-06.5 Sicherung und Wiederherstellung

(1) Für einbezogene Kundenwebsites werden Sicherungen nach dem dokumentierten Betriebsmodell erstellt. Umfang, Frequenz, Aufbewahrung und erfasste Komponenten richten sich nach der aktuellen technischen Konfiguration und der individuellen Vereinbarung.

(2) Wiederherstellungsmaßnahmen werden im Rahmen des verfügbaren und getesteten Sicherungsstands durchgeführt. Diese TOM begründet keine bestimmte Recovery Time, keinen vollständigen historischen Wiederherstellungserfolg und keine unveränderliche Sicherung.

(3) Sicherungen dienen der operativen Wiederherstellung und ersetzen weder Löschpflichten noch einen projektspezifischen Export oder eine vom Kunden verantwortete zusätzliche Datensicherung.

A-06.6 Änderungen und Überprüfung

(1) Hosting-, Deployment- und Sicherheitsänderungen werden kontrolliert durchgeführt und auf erkennbare Auswirkungen auf Kundenwebsite, DNS, E-Mail und Datenschutz geprüft.

(2) Dieser Annex wird aktualisiert, wenn eine materielle Änderung des bestätigten Hosting- oder Sicherheitsmodells dies erfordert. Provider- und Standortangaben werden erst nach Verifikation ergänzt.