[Seite 1]

2442 / L 2442 / VI.20 (Erklärung Auftragsverarbeitung)

Das Formblatt ist nach Auftragserteilung ausgefüllt beim Auftraggeber einzureichen.

„Technisch-organisatorische Maßnahmen“ zu den Zusätzliche Vertragsbedingungen über die Verarbei- tung personenbezogener Daten im Auftrag eines Verantwortlichen gemäß Art. 28 DSGVO

Folgende besonderen technischen und organisatorischen Maßnahmen werden eingehalten.

Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle: Maßnahmen, die geeignet sind, Unbefugten den Zutritt zu Datenverarbeitungsan- lagen zu verwehren. ☐ Schlüssel ☐ elektr. Türöffner ☐ Alarmanlagen ☐ Videoanlagen ☐ Pförtner • Zugangskontrolle: Maßnahmen, die geeignet sind zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können. ☐ Kennwörter ☐ autom. Sperrmechanismen ☐ Verschlüsselung von Datenträgern • Zugriffskontrolle: Maßnahmen, die gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. ☐ Berechtigungskonzepte ☐ bedarfsgerechte Zugriffsrechte ☐ Protokollierung von Zugriffen • Trennungskontrolle: Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erho- bene Daten getrennt verarbeitet werden können. ☐ Mandantenfähigkeit ☐ Sandboxing • Pseudonymisierung: Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer konkreten betroffenen Person zugeord- net werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechende technischen und organisatorischen Maßnahmen unterliegen.

Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Weitergabekontrolle: Maßnahmen, die gewährleisten, dass personenbezogene Daten bei elektro- nischer Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festge- stellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrich- tungen zur Datenübertragung vorgesehen ist. ☐ Verschlüsselung ☐ Virtual Private Networks (VPS) ☐ elektr. Signatur • Eingabekontrolle: Maßnahmen, die gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingege- ben, verändert oder entfernt worden sind ☐ Protokollierung ☐ Dokumentenmanagement

Verfügbarkeit und Belastbarkeit

• Verfügbarkeitskontrolle: Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind. ☐ Virenschutz ☐ Firewall ☐ Notfallpläne • Belastbarkeit: Mindestmaßnahmen, die sicherstellen, dass im Falle eines Ausfalls der Datenverar- beitungssysteme diese rasch wiederhergestellt werden können.

[Seite 2]

2442 / L 2442 / VI.20 (Erklärung Auftragsverarbeitung)

Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO)

• Datenschutz-Management • Incident-Response-Management: Maßnahmen zur Unterstützung bei der Reaktion auf Sicher- heitsverletzungen • Datenschutzfreundliche Voreinstellungen (Art. 25 Abs. 2 DSGVO) • Auftragskontrolle: Maßnahmen, die gewährleisten, dass personenbezogene Daten, im Rahmen der Auftragsverarbeitung nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können

D02_2026-242_L 2442_Erklärung_Auftragsverarbeitung_0421.pdf