Auftragsverarbeitungsvertrag (AVV) — HostSystem
Stand: April 2026 · Gemäß Art. 28 DSGVO
Auftragnehmer / Auftragsverarbeiter
HostSystem ist ein System von CK GrowthSystems (eine Marke der CK Global GbR) Kirchstraße 22C, 77736 Zell am Harmersbach hello@ckgrowthsystems.com USt-IdNr.: DE357817554
(im Folgenden „Auftragnehmer" oder „Auftragsverarbeiter")
Auftraggeber / Verantwortlicher
UNTERNEHMEN: _______________________________
ADRESSE: _______________________________
E-MAIL: _______________________________
ANSPRECHPARTNER: _______________________________
(im Folgenden „Auftraggeber" oder „Verantwortlicher")
— gemeinsam auch „Vertragsparteien" genannt —
§ 1 Allgemeine Bestimmungen und Auftragsgegenstand
1. Mit diesem Vertrag wird sichergestellt, dass die Anforderungen der Datenschutz-Grundverordnung bei der Übermittlung personenbezogener Daten an einen Auftragnehmer eingehalten werden. Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er allein ist dafür verantwortlich, zu beurteilen, ob die Datenverarbeitungsvorgänge nach Art. 6 DSGVO zulässig sind, und die Betroffenenrechte zu wahren. 2. Dieser Vertrag gilt für die Übermittlung personenbezogener Daten gemäß Anlage 1. Die Anlagen zu diesem Vertrag sind ebenfalls Bestandteil dieses Vertrages. 3. Dieser Vertrag enthält alle wichtigen Garantien und durchsetzbaren Rechte für die betroffenen Personen sowie wirksame Rechtsbehelfe gemäß Art. 46 Abs. 1 und Art. 46 Abs. 2 lit. c DSGVO. 4. Dieser Vertrag gilt unabhängig von den übrigen Verpflichtungen des Auftraggebers gemäß der DSGVO. 5. Der genaue Gegenstand der Datenübermittlung, die betroffenen Datenkategorien sowie der Verarbeitungszweck sind in Anlage 1 beschrieben. 6. Der Auftraggeber versichert, sich im Rahmen des Möglichen davon überzeugt zu haben, dass der Auftragnehmer durch geeignete technische und organisatorische Maßnahmen in der Lage ist, seinen Pflichten aus diesem Vertrag nachzukommen. 7. Die Daten werden vorrangig in Deutschland, einem EU-Land oder einem Land des Europäischen Wirtschaftsraums verarbeitet. Eine Verarbeitung in Drittländern erfolgt nur unter den Voraussetzungen von Kapitel 5 DSGVO (Art. 44 ff.) und unter Einhaltung der EU-Standardvertragsklauseln (SCC). Die genutzten Drittland-Auftragsverarbeiter sind in Anlage 3 aufgeführt; mit Vertragsschluss willigt der Auftraggeber in deren Beauftragung ein. 8. Die Vergütung wird außerhalb dieses Vertrags in einem gesonderten Dienstleistungsvertrag zwischen den Parteien vereinbart. Diese AVV ist von der Vergütung unabhängig.
§ 2 Vertragslaufzeit und Kündigung
Dieser Auftragsverarbeitungsvertrag gilt für die Dauer der Leistungsbeziehung zwischen den Parteien auf Basis des jeweiligen Dienstleistungsvertrages und der HostSystem-AGB. Er endet automatisch mit Beendigung der Leistungsbeziehung.
§ 3 Weisungen des Auftraggebers
1. Der Auftraggeber ist berechtigt, dem Auftragnehmer Weisungen zur Verarbeitung personenbezogener Daten zu erteilen, insbesondere zur Löschung, Berichtigung, Sperrung oder Herausgabe. Der Auftragnehmer hat diese Weisungen zu befolgen, sofern sie nicht gegen geltendes Recht verstoßen. 2. Hält der Auftragnehmer eine Weisung für rechtswidrig, hat er den Auftraggeber unverzüglich zu informieren und kann die Ausführung bis zur Bestätigung oder Änderung durch den Auftraggeber vorübergehend aussetzen. 3. Weisungen sind schriftlich oder in elektronischer Form (z. B. per E-Mail) zu erteilen. Mündliche Weisungen sind vom Auftragnehmer zu protokollieren (Datum, Uhrzeit, beteiligte Personen). 4. Der Auftraggeber kann weisungsberechtigte Personen benennen. Änderungen sind unverzüglich mitzuteilen.
§ 4 Kontrollbefugnisse des Auftraggebers
1. Der Auftraggeber ist berechtigt, im erforderlichen Umfang die Einhaltung der datenschutz- und datensicherheitsrechtlichen Vorschriften beim Auftragnehmer zu kontrollieren, auch durch beauftragte Dritte. Der Auftragnehmer hat diese Kontrollen zu dulden und zu unterstützen sowie alle erforderlichen Informationen vollständig und wahrheitsgemäß zur Verfügung zu stellen. 2. Da HostSystem als Cloud-Plattform betrieben wird, erfolgen Kontrollen in der Regel über die Auswertung von TOM-Dokumentationen, Audit-Berichten der Sub-Auftragsverarbeiter (z. B. SOC 2, ISO 27001 von Supabase, Vercel) sowie schriftlichen Auskünften. Vor-Ort-Kontrollen erfolgen zu den üblichen Geschäftszeiten nach angemessener Voranmeldung, sofern der Kontrollzweck keine vorherige Ankündigung ausschließt. 3. Ergebnisse von Kontrollen und erteilte Weisungen sind von beiden Parteien zu protokollieren.
§ 5 Allgemeine Pflichten des Auftragnehmers
1. Die Daten werden ausschließlich auf Grundlage dieses Vertrages und der Weisungen des Auftraggebers verarbeitet. Eine anderweitige Verarbeitung ist nur bei zwingenden gesetzlichen Verpflichtungen zulässig; der Auftraggeber ist vorab zu informieren, sofern keine gesetzliche Mitteilungspflicht entgegensteht. 2. Der Auftragnehmer hat bei der Auftragsdurchführung alle einschlägigen gesetzlichen Vorschriften einzuhalten, insbesondere die technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO umzusetzen sowie das Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO zu führen. 3. Sofern der Auftragnehmer zur Benennung eines Datenschutzbeauftragten verpflichtet ist, hat er dessen Kontaktdaten dem Auftraggeber mitzuteilen. Änderungen sind unverzüglich bekanntzugeben. 4. Datenverarbeitung außerhalb der Betriebsstätten des Auftragnehmers (z. B. Homeoffice, Fernzugriff) erfolgt im Rahmen der vereinbarten technischen und organisatorischen Maßnahmen (verschlüsselte Verbindungen, MFA, getrennte Geräte). 5. Der Auftragnehmer hat sicherzustellen, dass alle mit der Verarbeitung befassten Personen einer Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Vor Unterzeichnung der Verschwiegenheitsverpflichtung darf kein Zugang zu den personenbezogenen Daten erfolgen. 6. Auf Anfrage stellt der Auftraggeber der betroffenen Person eine Kopie dieses Vertrages einschließlich der Anlagen unentgeltlich zur Verfügung. Vertrauliche Informationen und Geschäftsgeheimnisse können vor der Weitergabe unkenntlich gemacht werden; eine aussagekräftige Zusammenfassung ist beizufügen. 7. Der Auftragnehmer kontrolliert die Erfüllung seiner Pflichten regelmäßig und eigenständig und dokumentiert dies in geeigneter Weise.
§ 6 Sensible Daten
Soweit die Verarbeitung besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO umfasst — insbesondere Gesundheitsdaten (z. B. Allergie-Hinweise, Unverträglichkeiten, Hinweise auf Vorerkrankungen oder Schwangerschaft) oder Daten über religiöse Überzeugungen (z. B. religiös motivierte Speise- oder Service-Vorgaben), die der Endkunde freiwillig im Rahmen einer Reservierung oder Terminbuchung mitteilen kann — wendet der Auftragnehmer die in Anlage 2 beschriebenen speziellen Beschränkungen und zusätzlichen Schutzmaßnahmen an.
§ 7 Technische und organisatorische Maßnahmen
1. Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO). Die mindestens umzusetzenden Maßnahmen sind in Anlage 2 aufgeführt. Der Auftragnehmer überprüft diese regelmäßig auf Angemessenheit. 2. Der Auftragnehmer beschränkt den Datenzugang auf Personen, die diesen für die Vertragserfüllung benötigen, und stellt deren Verschwiegenheitsverpflichtung sicher. 3. Bei Verletzungen des Schutzes personenbezogener Daten hat der Auftragnehmer unverzüglich Abhilfemaßnahmen zu ergreifen, die Folgen zu minimieren und den Auftraggeber innerhalb von 24 Stunden nach Kenntniserlangung zu informieren. Die Meldung enthält: Kontaktdaten der Anlaufstelle, Beschreibung der Verletzung, betroffene Datenkategorien und -mengen, wahrscheinliche Folgen sowie ergriffene und geplante Maßnahmen. 4. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der DSGVO-Vorgaben, einschließlich der Benachrichtigung der zuständigen Aufsichtsbehörde und betroffener Personen.
§ 8 Unterstützungspflichten des Auftragnehmers
1. Der Auftragnehmer unterstützt den Auftraggeber bei der Wahrung der Betroffenenrechte gemäß Kapitel III DSGVO (Art. 12–22), insbesondere bei Auskunft, Löschung, Berichtigung und Einschränkung der Verarbeitung. Hierzu stellt HostSystem dem Auftraggeber im UI direkt nutzbare Werkzeuge zur Verfügung (Datenexport, Anonymisierungsfunktion im Bereich „Datenschutz / DSGVO"). 2. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten gemäß Art. 32–36 DSGVO (Datensicherheit, Meldepflichten, Datenschutz-Folgenabschätzung).
§ 9 Einsatz von Unterauftragnehmern (Subunternehmer)
1. Der Auftragnehmer nimmt weitere Auftragnehmer (Unterauftragnehmer) nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Auftraggebers in Anspruch (Art. 28 Abs. 2 S. 1 DSGVO). Die Regelungen gelten für alle nachgelagerten Unterauftragnehmer. 2. Mit Unterzeichnung dieses Vertrages erteilt der Auftraggeber seine Zustimmung zur Beauftragung der in Anlage 3 aufgeführten Unterauftragnehmer, vorbehaltlich einer vertraglichen Vereinbarung gemäß Art. 28 Abs. 2 und 4 DSGVO. 3. Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Hinzuziehungen oder Wechsel von Unterauftragnehmern. Der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem Grund schriftlich widersprechen. Nach Ablauf dieser Frist gilt die Genehmigung als erteilt. 4. Bei Unterauftragnehmern in Drittstaaten sind die besonderen Voraussetzungen der Art. 44 ff. DSGVO einzuhalten. Der Auftragnehmer schließt mit diesen Unterauftragnehmern EU-Standardvertragsklauseln (SCC) ab und prüft ergänzende Maßnahmen (Transfer Impact Assessment). 5. Der Auftragnehmer gewährleistet, dass dem Auftraggeber gegenüber dem Unterauftragnehmer dieselben Anordnungs- und Kontrollrechte zustehen wie ihm gegenüber dem Auftragnehmer. Bei Pflichtverletzungen durch einen Unterauftragnehmer haftet der Auftragnehmer gegenüber dem Auftraggeber. 6. Auf Anfrage erhält der Auftraggeber eine Kopie der Untervergabevereinbarung; vertrauliche Informationen können geschwärzt werden.
§ 10 Mitteilungspflichten des Auftragnehmers
1. Bei Verstößen gegen diesen Vertrag, die Weisungen des Auftraggebers oder gegen datenschutzrechtliche Bestimmungen — auch bei begründetem Verdacht — ist der Auftraggeber unverzüglich zu informieren. Diese Pflicht gilt für den Auftragnehmer sowie alle eingesetzten Personen und Unterauftragnehmer. 2. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Informationspflichten nach Art. 33 und 34 DSGVO. Meldungen an Behörden oder Betroffene dürfen erst nach vorheriger Weisung des Auftraggebers erfolgen. 3. Anfragen von Betroffenen, Behörden oder Dritten (Auskunft, Berichtigung, Sperrung, Löschung) leitet der Auftragnehmer unverzüglich an den Auftraggeber weiter. Eine eigenständige Bearbeitung erfolgt nur auf Weisung des Auftraggebers. 4. Der Auftragnehmer informiert den Auftraggeber unverzüglich über behördliche Maßnahmen sowie über Ereignisse, die die vertragsgegenständlichen Daten gefährden könnten.
§ 11 Vertragsbeendigung, Löschung und Rückgabe der Daten
1. Nach Abschluss der Verarbeitung oder bei Vertragsende hat der Auftragnehmer alle personenbezogenen Daten zu löschen oder zurückzugeben, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. 2. Der Auftraggeber hat 30 Tage nach Vertragsende Zeit, seine Daten über die in HostSystem integrierten Export-Funktionen herunterzuladen (CSV, JSON — DSGVO Art. 20). 3. Nach Ablauf dieser 30-Tage-Frist werden alle Tenant-Daten endgültig gelöscht; eine Wiederherstellung ist dann nicht mehr möglich. Backups werden im Rahmen der ohnehin gültigen Backup-Rotationen ebenfalls überschrieben (max. 7 Tage nach Tenant-Löschung). 4. Der Auftraggeber ist berechtigt, die Löschmaßnahmen zu überprüfen und Löschprotokolle anzufordern.
§ 12 Datengeheimnis und Vertraulichkeit
1. Der Auftragnehmer ist unbefristet — auch nach Vertragsende — verpflichtet, personenbezogene Daten vertraulich zu behandeln und einschlägige Geheimnisschutzregeln zu beachten (z. B. § 203 StGB). Der Auftraggeber hat den Auftragnehmer bei Auftragserteilung auf besondere Geheimnisschutzregeln hinzuweisen. 2. Der Auftragnehmer stellt sicher, dass alle mit der Verarbeitung befassten Mitarbeiter die Datenschutzbestimmungen und Geheimnisschutzregeln kennen und einhalten, insbesondere bei Aufnahme ihrer Tätigkeit. 3. Der Auftragnehmer dokumentiert die Einhaltung dieser Ziffer und stellt die Dokumentation dem Auftraggeber auf Anfrage zur Verfügung.
§ 13 Haftung
1. Jede Partei haftet der anderen gegenüber für Schäden, die durch Verstöße gegen diesen Vertrag verursacht werden. 2. Verstößt der Auftragnehmer oder ein Unterauftragnehmer gegen diesen Vertrag, kann die betroffene Person Schadensersatz für materielle und immaterielle Schäden verlangen. 3. Der Auftragnehmer haftet gegenüber betroffenen Personen für jeden Schaden, der durch eine Verletzung ihrer Rechte als Drittbegünstigte entsteht (Art. 82 DSGVO), unabhängig davon, ob der Schaden durch den Auftraggeber oder den Auftragnehmer verursacht wurde. 4. Bei gesamtschuldnerischer Haftung mehrerer Parteien gegenüber der betroffenen Person ist ein interner Ausgleich entsprechend dem jeweiligen Verschuldensanteil vorzunehmen. 5. Der Auftragnehmer kann sich nicht durch Verweis auf Fehler eines Unterauftragnehmers entlasten; er haftet für die ordnungsgemäße Leistungserbringung aller eingesetzten Subunternehmer.
§ 14 Schlussbestimmungen
1. Änderungen und Ergänzungen dieses Vertrages sowie Nebenabreden bedürfen der Schriftform oder elektronischen Form; der Änderungsgegenstand muss eindeutig bezeichnet sein. 2. Verweise auf DSGVO-Vorschriften gelten entsprechend für Nachfolgeregelungen, soweit diese inhaltlich übereinstimmen. 3. Die Unwirksamkeit einzelner Bestimmungen lässt die Wirksamkeit der übrigen Bestimmungen unberührt. Unwirksame Bestimmungen sind durch wirksame zu ersetzen, die dem wirtschaftlichen Zweck am nächsten kommen. 4. Sämtliche Anlagen sind Bestandteil dieses Vertrages.
Vertragsannahme
Dieser Auftragsverarbeitungsvertrag wird nicht durch Unterschrift wirksam, sondern automatisch mit Eingang der ersten Zahlung des Auftraggebers im Rahmen des zugrunde liegenden Dienstleistungsvertrages. Mit Zahlungseingang gelten sämtliche Bestimmungen dieses Vertrages — einschließlich aller Anlagen — vollumfänglich als angenommen.
Anlage 1 — Auftragsdetails
Der vorliegende Vertrag umfasst (im Zusammenhang mit dem Hauptvertrag) folgende Leistungen:
- Bereitstellung und Betrieb der HostSystem-SaaS-Plattform (Multi-Tenant; je nach Branche Reservierungs-/Tischverwaltung in der Gastronomie oder Termin-/Mitarbeiterkalender in Service-Branchen)
- Einrichtung, Konfiguration und Betrieb von Voice-AI-Telefonagenten (über die Demandly-Plattform, technisch realisiert über GoHighLevel)
- Versand transaktionaler E-Mail-Bestätigungen an Endkunden des Auftraggebers (über Resend)
- Versand von WhatsApp-, Instagram-, Facebook-, SMS- und Webchat-Bestätigungen an Endkunden des Auftraggebers (über Demandly/GoHighLevel oder Meta Cloud API, je nach Tenant-Konfiguration)
- Verarbeitung und Speicherung von Reservierungs- und Termindaten sowie zugehörigen Kommunikationsverläufen
- Bereitstellung von Statistik- und Analyse-Funktionen (Auslastung, Buchungs-Volumen, Voice-Call-Outcome)
- DSGVO-Compliance-Werkzeuge (Datenexport, Anonymisierungsfunktion, Löschung)
- Protokollierung, Administration, Fehleranalyse und Systemsicherheit
Art der Verarbeitung
Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln, Bereitstellen, Abgleichen, Einschränken, Löschen und gegebenenfalls Anonymisieren personenbezogener Daten im Rahmen der Leistungserbringung.
Zweck der Verarbeitung
Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zum Zweck der Bereitstellung, Durchführung und technischen Unterstützung der vertraglich geschuldeten Leistungen des Auftragsverarbeiters, insbesondere:
- Annahme von Reservierungen und Terminbuchungen über automatisierte Sprach- und Chat-Agenten
- Versand von Bestätigungen, Stornos und Erinnerungen an die hinterlegten Kontaktdaten der Endkunden
- Bereitstellung der Reservierungs- bzw. Termin-Übersicht für das Team des Auftraggebers
- Bereitstellung von Voice-AI-Anrufprotokollen zur Qualitätssicherung
- Erfüllung gesetzlicher Pflichten (Buchführung, Steuern)
Verarbeitete Datenkategorien
- Stammdaten (Vorname, Nachname, ggf. „Familie"-/Höflichkeitsangaben)
- Kontaktdaten der Endkunden (Telefonnummer, E-Mail-Adresse — je nach gewähltem Bestätigungs-Kanal)
- Reservierungs- und Termindaten (Datum, Uhrzeit, Personenzahl bzw. Service-Art und Mitarbeiter-Zuweisung, Tisch-/Bereichszuweisung bei Gastronomie, Buchungsnummer, Status)
- Kommunikationsdaten (Voice-Call-Transkripte, WhatsApp-/Instagram-/Facebook-/SMS-/Webchat-Inhalte, E-Mail-Inhalte, Notizen)
- Sprachaufzeichnungen (Voice-Call-Audio, sofern Demandly/GoHighLevel diese speichert)
- Sondermerkmale auf Wunsch des Endkunden (z. B. Allergie- und Vorerkrankungs-Hinweise, Kinderstuhl- oder Rollstuhl-Bedarf, religiöse Speise- oder Service-Vorgaben — siehe § 6)
- Technische Daten (IP-Adresse, Geräte- und Browserinformationen, Logfiles, Zeitstempel)
- Authentifizierungsdaten des Auftraggeber-Teams (E-Mail, gehashtes Passwort, Session-Tokens)
- KYC-Dokumente des Auftraggebers (Gewerbeanmeldung als PDF/Bild) — werden ausschließlich zur Voice-Nummer-Verifikation gegenüber dem Telefonie-Provider Twilio (über GoHighLevel/Demandly) verarbeitet, in privatem Storage-Bucket gespeichert und nach Vertragsende gemäß § 11 dieses Vertrages gelöscht
- Metadaten der Kommunikation (Anrufzeitpunkt, Anrufdauer, Outcome, ggf. Anrufer-ID)
Kreis der betroffenen Personen
- Endkunden des Auftraggebers, die Reservierungen oder Terminbuchungen über die Voice-AI, WhatsApp, Instagram, Facebook, SMS, Webchat, E-Mail oder durch das Team des Auftraggebers manuell anlegen lassen
- Anrufer der Voice-AI, auch wenn keine Buchung zustande kommt
- Mitarbeiter des Auftraggebers (Inhaber, Manager, Service-Personal), die das HostSystem nutzen
- Sonstige Personen, die über die Plattform-Kanäle (Voice, Chat, E-Mail) mit dem Auftraggeber in Kontakt treten
Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Der Auftragnehmer setzt folgende technische und organisatorische Maßnahmen zum Schutz der vertragsgegenständlichen personenbezogenen Daten um. Die Maßnahmen wurden im Einklang mit Art. 32 DSGVO festgelegt.
I. Zweckbindung und Trennbarkeit (Mandantenfähigkeit)
Folgende Maßnahmen gewährleisten, dass zu unterschiedlichen Zwecken bzw. von unterschiedlichen Tenants erhobene Daten getrennt verarbeitet werden:
- Multi-Tenant-Architektur mit logischer Mandantentrennung über `restaurant_id` als Pflichtfeld in jeder Datentabelle
- Postgres Row-Level Security (RLS) mit Policies pro Tabelle, die jeden Datensatz auf den eigenen Tenant beschränken
- Berechtigungskonzept mit drei Rollen pro Tenant (Owner, Manager, Staff)
- Trennung von Produktiv- und Test-System (separate Datenbanken)
- Verschlüsselte Datenübertragung (TLS 1.2+, HTTPS-only)
- Versehen aller Datensätze mit Tenant-Attribut, automatischer Zugriffsfilter über Supabase-RLS
II. Vertraulichkeit und Integrität
1. Verschlüsselung
Die Übertragung personenbezogener Daten erfolgt ausschließlich über verschlüsselte Verbindungen (TLS 1.2+, HTTPS). Gespeicherte Daten werden durch Verschlüsselungsmechanismen der eingesetzten Cloud-Infrastruktur geschützt (Encryption at Rest — Supabase/PostgreSQL mit AES-256). Passwörter werden mittels bcrypt/argon2 (Supabase Auth) gehasht und gesalzen. API-Tokens (z. B. Meta WhatsApp Access Tokens) werden in der Datenbank verschlüsselt gespeichert und in API-Antworten redacted.
2. Pseudonymisierung
Die im Rahmen der Plattform verarbeiteten personenbezogenen Daten werden grundsätzlich nicht pseudonymisiert, da die direkte Kommunikation mit Endkunden dies erfordert (Buchungsbestätigung mit Namen). Bei Vertragsende erfolgt jedoch automatisch eine Anonymisierung gemäß § 11 dieses Vertrages.
3. Zutrittskontrolle (Maßnahmen gegen unbefugten Zutritt)
Da HostSystem als Cloud-Plattform betrieben wird, erfolgt die physische Zutrittskontrolle durch die eingesetzten Cloud- und Hosting-Anbieter:
- Physische Zutrittskontrollen der Rechenzentren (Supabase, Vercel — beide mit primärer EU-Region Frankfurt) inkl. Zugangskontrollen, Sicherheitszonen, Videoüberwachung
- Schließsysteme, Alarmanlagen, 24/7-Sicherheitspersonal in den Rechenzentren
- Zertifizierungen der Cloud-Anbieter (ISO 27001, SOC 2)
- Eigene Mitarbeiter des Auftragnehmers haben keinen physischen Zugang zur Hosting-Infrastruktur
4. Zugangskontrolle (Maßnahmen gegen unbefugte Systemnutzung)
- Zuordnung von Benutzerrechten über Supabase Auth + Memberships-Tabelle
- Benutzerprofile mit Rolle (Owner / Manager / Staff)
- Passwort-Richtlinien (Mindestlänge, Komplexität gemäß Supabase-Auth-Standard)
- Authentifikation mit Benutzername/Passwort, optional 2FA für Owner-Rolle
- Session-Tokens mit angemessener Lebensdauer, JWT-basiert
- Rate-Limiting auf Login-Endpoint und API zur Abwehr von Brute-Force
- Verschlüsselung mobiler IT-Systeme der Mitarbeiter des Auftragnehmers (FileVault, BitLocker)
- Hardware- und Software-Firewalls auf Mitarbeiter-Geräten
- Anti-Viren-Software auf allen Endgeräten
- VPN-Technologie für administrative Zugriffe
- Sperren externer Schnittstellen (USB-Restriktionen auf Admin-Geräten)
5. Zugriffskontrolle
- Berechtigungskonzept mit drei Rollen pro Tenant
- Verwaltung der Rechte durch Tenant-Owner; Wechsel über Supabase + Memberships-API
- Regelmäßige Überprüfung der Zugriffsrechte
- Anzahl der Administratoren auf notwendiges Minimum reduziert (CK GrowthSystems-Mitarbeiter mit Service-Role-Key in Supabase)
- Passwortrichtlinie inkl. Mindestlänge und Komplexität
- Rollenbasierte Zugriffskontrolle in Datenbank-Policies (RLS)
- Service-Role-Key wird ausschließlich serverseitig verwendet, nie an Client ausgeliefert
- Sub-Auftragsverarbeiter-Zugriff vertraglich gebunden gemäß Art. 28 DSGVO
6. Eingabekontrolle
- Protokollierung der Eingabe, Änderung und Löschung von Daten in der `voice_events`-Tabelle (Voice-AI-bezogen) und über Supabase Audit-Logs
- Nachvollziehbarkeit durch individuelle Benutzer-IDs (UUID pro Mitarbeiter)
- Vergabe von Rechten zur Eingabe, Änderung und Löschung auf Basis des Berechtigungskonzepts
- Systemprotokolle und Logfiles zur Nachverfolgung von Systemzugriffen und Änderungen
- Sentry Error-Logging mit personenbezogene-Daten-Filter
7. Auftragskontrolle
- Auswahl der Sub-Auftragsverarbeiter unter Sorgfaltsgesichtspunkten (DSGVO-Konformität, Zertifizierungen, Standort)
- Vorherige Prüfung und Dokumentation der Sicherheitsmaßnahmen (siehe Audit-Berichte der Cloud-Anbieter)
- Schriftliche Auftragsverarbeitungsverträge (DPA / AVV) mit allen Sub-Verarbeitern
- Verpflichtung der Mitarbeiter auf das Datengeheimnis
- Sicherstellung der Löschung von Daten nach Beendigung des Auftrags
- Kontrollrechte gegenüber den Sub-Auftragsverarbeitern vereinbart
- Laufende Überprüfung der Sub-Auftragsverarbeiter und ihrer Tätigkeiten
- Einsatz ausschließlich vertraglich gebundener Unterauftragsverarbeiter gemäß Art. 28 DSGVO
8. Weitergabekontrolle
- TLS-/HTTPS-Verschlüsselung der Kommunikationswege
- API-Authentifizierung über Webhook-Secrets pro Tenant (für Voice-AI-Endpoints)
- Verschlüsselte Datenübertragung zwischen Plattform, APIs und eingesetzten Cloud- und Kommunikationsdiensten
- Idempotency-Keys zur Verhinderung doppelter Datenverarbeitung bei Netzwerk-Retries
- Rate-Limiting zur Abwehr von Daten-Exfiltrations-Versuchen
III. Verfügbarkeit, Wiederherstellbarkeit und Belastbarkeit
- Hochverfügbare Cloud-Infrastruktur mit redundanten Systemen und Monitoring (Supabase + Vercel, beide EU-Region Frankfurt)
- Unterbrechungsfreie Stromversorgung und Klimatisierung in den Rechenzentren der Cloud-Anbieter
- Feuer- und Rauchmeldeanlagen in den Rechenzentren der Cloud-Anbieter
- Backup-Konzept: Tägliche Backups mit Point-in-Time-Recovery für die letzten 7 Tage (über Supabase)
- Belastbares Wiederherstellungskonzept vorhanden — Restore innerhalb weniger Stunden möglich
- Notfallplan für längere Ausfälle (manuelle Buchungsannahme über Telefon-Fallback während Wiederherstellung)
- Health-Check-Endpoint (`/api/health`) für externe Uptime-Überwachung
- Sentry Error-Tracking zur frühen Fehler-Erkennung
- Monitoring der API-Performance und der Sub-Auftragsverarbeiter-Verfügbarkeit
IV. Besondere Datenschutzmaßnahmen
- Interne Verhaltensregeln für den Umgang mit personenbezogenen Daten
- Datensicherheitskonzept auf Basis der hier dokumentierten TOMs
- Wiederanlaufkonzept auf Basis der Backup-Strategie (siehe III)
- Risikoanalyse im Rahmen der Verarbeitungsverzeichnis-Pflege
- Daten-Minimierungs-Prinzip bei der Verarbeitung — es werden nur die für die Buchungsabwicklung erforderlichen Daten erhoben
- Automatische PII-Anonymisierung alter Voice-Calls (>90 Tage) durch nächtlichen Cleanup-Job
- Webhook-Log-TTL (>30 Tage werden gelöscht)
- Idempotency-Log-TTL (>24 Stunden werden gelöscht)
- Regelmäßige Überprüfung der technischen und organisatorischen Maßnahmen
V. Überprüfung der Maßnahmen
Der Auftragnehmer prüft, evaluiert und passt die in dieser Anlage niedergelegten technischen und organisatorischen Maßnahmen im Abstand von 12 Monaten sowie anlassbezogen an. Wesentliche Änderungen werden dem Auftraggeber mitgeteilt.
Anlage 3 — Genehmigte Unterauftragnehmer
Mit Unterzeichnung dieses Vertrages erteilt der Auftraggeber seine Zustimmung zur Beauftragung folgender Unterauftragnehmer:
| Unternehmen | Leistung | Sitz | Kontakt | |---|---|---|---| | Supabase Inc. | Datenbank, Authentifizierung, Realtime-Updates, Backups | EU-Region (Frankfurt) | supabase.com | | Resend Inc. | Versand transaktionaler E-Mails (Bestätigungen, Reminder, Daily Digest) | EU-Region | resend.com | | Vercel Inc. | Hosting (Application, Edge-Functions, Static Content) + Web-Analytics (cookieless, nur nach Consent) | EU-Region (Frankfurt) | vercel.com | | HighLevel LLC (Demandly) | Voice-AI, WhatsApp-Versand, Workflow-Automatisierung | USA | gohighlevel.com | | Meta Platforms Ireland Ltd. | WhatsApp Business Cloud API (optional pro Tenant) | Irland | meta.com | | Functional Software, Inc. (Sentry) | Fehler-Logging und Performance-Monitoring (optional) | USA | sentry.io |
Alle eingesetzten Unterauftragnehmer wurden vertraglich gemäß Art. 28 DSGVO verpflichtet. Bei Sub-Auftragsverarbeitern in Drittstaaten (USA) basiert der Datentransfer auf den EU-Standardvertragsklauseln (SCC) gemäß Durchführungsbeschluss (EU) 2021/914 sowie ergänzenden Maßnahmen (Verschlüsselung, Zugriffskontrollen).
Bei Hinzuziehung oder Wechsel von Unterauftragnehmern wird der Auftraggeber gemäß § 9.3 dieses Vertrages informiert.