Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung zur Auftragsverarbeitung wird ab dem Tarif Team S Bestandteil des Vertrags zwischen dem Unternehmenskunden (Verantwortlicher) und der Booxos GmbH (Auftragsverarbeiter). Eine unterzeichnete Ausfertigung stellen wir Unternehmenskunden auf Anfrage über unsere Kontaktseite oder per E-Mail an legal@booxos.de bereit.

Auftragsverarbeiter booxos GmbH, Pfarrhofstraße 10, 79874 Breitnau
Produkt Mativco
Datenschutzkontakt legal@booxos.de

zwischen

dem Unternehmen, das im Rahmen der Registrierung oder Bestellung eines Mativco-Unternehmenskontos als Vertragspartner bezeichnet ist,
– nachfolgend „Verantwortlicher“, „Auftraggeber“ oder „Kunde“ –

und

booxos GmbH, Pfarrhofstraße 10, 79874 Breitnau, Deutschland, vertreten durch die Geschäftsführer Björn Bach und Marvin Grethler, Amtsgericht Freiburg im Breisgau, HRB 729238, USt-IdNr. DE362658148, E-Mail: legal@booxos.de,
– nachfolgend „Auftragsverarbeiter“, „Auftragnehmer“, „booxos“ oder „Mativco“ –

gemeinsam auch „Parteien“ genannt.

1. Vertragsparteien

1. Der Verantwortliche ist das im Registrierungsvorgang oder in einer individuellen Bestellung bezeichnete Unternehmen. Die Person, die diese Vereinbarung elektronisch annimmt, bestätigt, zum Abschluss für den Verantwortlichen berechtigt zu sein.
2. Der Auftragsverarbeiter ist die booxos GmbH als Anbieterin der SaaS-Plattform Mativco.
3. Diese Vereinbarung wird in elektronischer Form geschlossen. Die booxos GmbH dokumentiert mindestens die Identität des Unternehmenskontos, die handelnde Person, Datum und Uhrzeit sowie die angenommene Dokumentversion.

2. Präambel und Geltungsbereich

1. Mativco ist eine cloudbasierte Plattform für Ausbildungsunternehmen. Sie ermöglicht insbesondere die Verwaltung von Unternehmenskonten, Administratoren, Mitarbeitern und Auszubildenden sowie die Erstellung, Organisation und Bereitstellung öffentlicher, interner und privater Fotogalerien.
2. Soweit die booxos GmbH personenbezogene Daten ausschließlich im Auftrag und nach dokumentierten Weisungen des Verantwortlichen verarbeitet, handelt sie als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.
3. Diese Vereinbarung gilt nicht für Verarbeitungsvorgänge, bei denen die booxos GmbH selbst über Zwecke und wesentliche Mittel entscheidet. Dies betrifft insbesondere Vertragsverwaltung, Rechnungsstellung, Zahlungsabwicklung, gesetzliche Aufbewahrung, eigene IT-Sicherheit, Missbrauchsabwehr und vollständig anonymisierte Produktstatistiken.
4. Die Parteien beabsichtigen, mit dieser Vereinbarung die Anforderungen des Art. 28 DSGVO zu erfüllen. Soweit zwingendes Datenschutzrecht strengere Anforderungen stellt, geht dieses vor.

3. Begriffsbestimmungen

1. Es gelten die Begriffsbestimmungen der DSGVO. Ergänzend gelten die nachfolgenden Definitionen.
2. „Unternehmenskonto“ bezeichnet den organisatorischen Hauptzugang des Verantwortlichen innerhalb von Mativco.
3. „Administrator“ bezeichnet einen vom Verantwortlichen benannten Nutzer mit umfassenden Verwaltungsrechten. „Mitarbeiter“ bezeichnet einen durch den Administrator angelegten Nutzer mit individuell vergebenen Verwaltungsrechten. „Auszubildender“ bezeichnet eine natürliche Person mit persönlichem Nutzerkonto, die einem Unternehmen zugeordnet werden kann.
4. „Öffentliche Galerie“ bezeichnet eine Galerie, deren Inhalte innerhalb von Mativco und abhängig von der konkreten Konfiguration auch gegenüber externen Besuchern sichtbar sein können. „Interne Galerie“ ist für dem Unternehmen zugeordnete Nutzer sichtbar. „Private Galerie“ ist nur für ausdrücklich eingeladene oder freigegebene Nutzer sichtbar.
5. „Kundendaten“ sind alle personenbezogenen Daten, die der Verantwortliche oder seine Nutzer über Mativco eingeben, hochladen, erzeugen oder verarbeiten lassen.

4. Gegenstand und Dauer der Verarbeitung

1. Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der SaaS-Plattform Mativco einschließlich Hosting, Nutzer- und Berechtigungsverwaltung, Datenbank, Bildspeicherung, Bildkomprimierung, Push-Benachrichtigungen, transaktionalen E-Mails, Support und technischer Protokollierung.
2. Art und Zweck der Verarbeitung, Kategorien personenbezogener Daten und Kategorien betroffener Personen ergeben sich aus Anlage 1.
3. Die Verarbeitung beginnt mit Aktivierung des Unternehmenskontos und dauert bis zur vollständigen Löschung oder Rückgabe der im Auftrag verarbeiteten personenbezogenen Daten.
4. Nach Beendigung des Hauptvertrags kann ein eingeschränkter Zugriff bis zu 14 Tage fortbestehen. Anschließend wird das Unternehmenskonto gesperrt. Die endgültige Löschung erfolgt grundsätzlich spätestens sechs Monate nach Vertragsende, soweit keine gesetzlichen Pflichten, dokumentierten Weisungen, Rechtsstreitigkeiten oder Sicherheitsgründe entgegenstehen.

5. Verantwortungsbereiche und Weisungen

1. Der Verantwortliche bleibt für die Rechtmäßigkeit der Erhebung und Verarbeitung der personenbezogenen Daten, für die Auswahl der Rechtsgrundlage sowie für die Wahrung der Rechte betroffener Personen verantwortlich.
2. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, zur Erfüllung des Hauptvertrags oder aufgrund einer bindenden gesetzlichen Verpflichtung.
3. Als dokumentierte Weisungen gelten insbesondere die Konfiguration der Plattform, Handlungen berechtigter Administratoren, Rollen- und Berechtigungsvergaben, Anlage oder Löschung von Galerien, Aufnahme oder Entfernung von Nutzern sowie in Textform erteilte Support-, Berichtigungs- oder Löschaufträge.
4. Einzelweisungen können über die Administrationsfunktionen, per E-Mail an legal@booxos.de oder über ein bereitgestelltes Support- oder Datenschutzformular erteilt werden.
5. Weisungsberechtigt sind die im Unternehmenskonto hinterlegten Administratoren, gesetzliche Vertreter und ausdrücklich benannte Ansprechpartner. Der Auftragsverarbeiter darf geeignete Nachweise der Weisungsberechtigung verlangen.
6. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen. Offensichtlich rechtswidrige Weisungen müssen nicht ausgeführt werden.

6. Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter verarbeitet Kundendaten nur für die vereinbarten Zwecke und nicht für eigene, mit dem Auftrag unvereinbare Zwecke.
2. Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen die personenbezogenen Daten nur entsprechend dieser Vereinbarung und dokumentierten Weisungen verarbeiten.
3. Kundenfotos aus internen oder privaten Galerien werden nicht für eigene Werbung, nicht verkauft, nicht für personalisierte Werbeprofile und nicht zum Training eigener oder fremder KI-Modelle verwendet.
4. Vollständig und dauerhaft anonymisierte Informationen dürfen für Produktverbesserung, Kapazitätsplanung, Sicherheitsanalyse und allgemeine Nutzungsstatistiken verwendet werden, sofern Rückschlüsse auf Personen oder einzelne Kunden ausgeschlossen sind.
5. Der Auftragsverarbeiter führt, soweit gesetzlich erforderlich, ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und arbeitet mit den zuständigen Aufsichtsbehörden zusammen.
6. Der Auftragsverarbeiter benennt dem Verantwortlichen auf Anfrage einen Kontakt für Datenschutz- und Sicherheitsfragen.

7. Vertraulichkeit und Zugriffsberechtigung

1. Der Zugriff auf personenbezogene Daten ist ausschließlich ausdrücklich autorisierten und auf Vertraulichkeit verpflichteten Mitarbeitern der booxos GmbH gestattet.
2. Zugriffe erfolgen nach dem Need-to-know-Prinzip und werden auf das für die konkrete Aufgabe erforderliche Maß beschränkt.
3. Produktive Kundeninhalte dürfen insbesondere für technische Fehleranalyse, Support, Bearbeitung gemeldeter Inhalte, Untersuchung ungewöhnlicher oder sicherheitsrelevanter Aktivitäten, Wiederherstellung und Erfüllung gesetzlicher Verpflichtungen eingesehen werden.
4. Die Vertraulichkeitsverpflichtung gilt auch nach Beendigung der Tätigkeit fort. Berechtigungen werden bei Aufgabenänderung oder Ausscheiden angepasst oder entzogen.
5. Externe Prüfer, Berater oder Dienstleister erhalten nur Zugriff, wenn dies erforderlich, rechtlich zulässig und vertraglich abgesichert ist.

8. Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO. Die bei Vertragsschluss vorgesehenen Maßnahmen sind in Anlage 2 beschrieben.
2. Die Maßnahmen berücksichtigen den Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere möglicher Risiken.
3. Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln oder durch gleichwertige beziehungsweise bessere Maßnahmen ersetzen. Das vereinbarte Schutzniveau darf nicht unangemessen abgesenkt werden.
4. Die Maßnahmen werden regelmäßig und anlassbezogen überprüft, insbesondere nach wesentlichen technischen Änderungen, Sicherheitsvorfällen, neuen Dienstleistern oder erkannten Schwachstellen.

9. Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Erfüllung seiner Pflichten nach Art. 12 bis 22 sowie Art. 32 bis 36 DSGVO.
2. Dies umfasst insbesondere technische Unterstützung bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Sicherheitsbewertungen, Datenschutz-Folgenabschätzungen und Konsultationen von Aufsichtsbehörden.
3. Erhält der Auftragsverarbeiter eine Anfrage einer betroffenen Person, die erkennbar den Verantwortungsbereich des Verantwortlichen betrifft, leitet er diese unverzüglich weiter und beantwortet sie nicht selbst, sofern keine Weisung oder gesetzliche Pflicht besteht.
4. Der Verantwortliche bleibt für die rechtliche Prüfung, Entscheidung und fristgerechte Beantwortung verantwortlich.
5. Außergewöhnliche Unterstützungsleistungen außerhalb der regulären Plattformfunktionen können nach vorheriger Ankündigung angemessen vergütet werden, sofern der Aufwand nicht durch eine Pflichtverletzung des Auftragsverarbeiters verursacht wurde.

10. Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit Kundendaten betroffen sind.
2. Die Erstinformation enthält, soweit verfügbar, die Art des Vorfalls, betroffene Systeme, Daten- und Personenkategorien, wahrscheinliche Folgen, ergriffene oder geplante Maßnahmen und einen Ansprechpartner. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.
3. Der Auftragsverarbeiter dokumentiert Sicherheitsvorfälle und ergreift angemessene Maßnahmen zur Eindämmung, Ursachenanalyse, Wiederherstellung und Verhinderung einer Wiederholung.
4. Die Entscheidung über Meldungen an Aufsichtsbehörden oder Benachrichtigungen betroffener Personen liegt grundsätzlich beim Verantwortlichen, soweit der Auftragsverarbeiter nicht selbst gesetzlich verpflichtet ist.
5. Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich über Sicherheitsvorfälle aus seinem Verantwortungsbereich, insbesondere kompromittierte Zugangsdaten oder unberechtigte Nutzerzugriffe.

11. Unterauftragsverarbeiter

1. Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter.
2. Die bei Vertragsschluss eingesetzten oder vorgesehenen Unterauftragsverarbeiter sind in Anlage 3 aufgeführt. Maßgeblich ist die jeweils aktuelle, dem Verantwortlichen zugänglich gemachte Liste.
3. Der Auftragsverarbeiter informiert den Verantwortlichen grundsätzlich mindestens 14 Tage vor dem geplanten Einsatz eines neuen oder ersetzten Unterauftragsverarbeiters, soweit keine dringenden Sicherheits- oder Betriebsgründe eine kürzere Frist erfordern.
4. Der Verantwortliche kann innerhalb der mitgeteilten Frist aus konkret begründeten datenschutzrechtlichen Gründen widersprechen. Die Parteien bemühen sich um eine zumutbare Lösung. Ist keine Alternative verfügbar, kann jede Partei den betroffenen Dienst oder Vertrag kündigen.
5. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den Pflichten dieser Vereinbarung im Wesentlichen entsprechen, und bleibt gegenüber dem Verantwortlichen für die Erfüllung verantwortlich.
6. Dienstleister, die Daten in eigener datenschutzrechtlicher Verantwortung verarbeiten, insbesondere bestimmte Zahlungsdienstleister, App-Store-Betreiber oder Telekommunikationsanbieter, sind nicht automatisch Unterauftragsverarbeiter dieser Vereinbarung.

12. Drittlandübermittlungen

1. Personenbezogene Daten werden grundsätzlich innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeitet, soweit dies technisch und vertraglich vorgesehen ist.
2. Eine Übermittlung oder ein Zugriff aus einem Drittland erfolgt nur unter Einhaltung der Art. 44 ff. DSGVO.
3. Als Transfergrundlagen können insbesondere Angemessenheitsbeschlüsse, das EU-US Data Privacy Framework bei zertifizierten Unternehmen, Standardvertragsklauseln der Europäischen Kommission oder andere gesetzlich anerkannte Garantien eingesetzt werden.
4. Soweit erforderlich, werden zusätzliche technische, organisatorische oder vertragliche Maßnahmen geprüft, insbesondere Verschlüsselung, Pseudonymisierung, regionale Speicherung und Beschränkung administrativer Zugriffe.
5. Der Auftragsverarbeiter informiert den Verantwortlichen auf begründete Anfrage über die eingesetzte Transfergrundlage eines relevanten Unterauftragsverarbeiters.

13. Nachweise, Kontrollen und Audits

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.
2. Der Nachweis erfolgt vorrangig durch diese Vereinbarung, TOM-Dokumentationen, Datenschutz- und Sicherheitsinformationen, Eigenerklärungen, Zertifikate, Prüfberichte oder zusammengefasste Ergebnisse interner oder externer Kontrollen.
3. Der Verantwortliche darf Kontrollen durchführen oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen lassen. Kontrollen sollen zunächst als Dokumenten- oder Fernprüfung erfolgen.
4. Vor-Ort-Prüfungen sind mit angemessener Frist anzukündigen, während üblicher Geschäftszeiten durchzuführen und auf den erforderlichen Umfang zu beschränken. Rechte anderer Kunden, Sicherheitsgeheimnisse, Quellcode und nicht auftragsrelevante Geschäftsgeheimnisse sind zu schützen.
5. Wettbewerber des Auftragsverarbeiters dürfen nur mit vorheriger Zustimmung als Prüfer eingesetzt werden.
6. Der Verantwortliche trägt die Kosten von ihm veranlasster Prüfungen, sofern kein erheblicher, vom Auftragsverarbeiter zu vertretender Verstoß festgestellt wird. Kontrollrechte von Aufsichtsbehörden bleiben unberührt.

14. Löschung, Rückgabe und Vertragsende

1. Nach Beendigung der Auftragsverarbeitung löscht oder gibt der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen zurück, soweit dies technisch möglich ist und keine gesetzlichen Pflichten entgegenstehen.
2. Der gewöhnliche Löschablauf ergibt sich aus Anlage 5 und dem Hauptvertrag. Eine automatisierte Exportfunktion ist nur geschuldet, wenn sie Bestandteil des gebuchten Leistungsumfangs ist.
3. Der Verantwortliche ist verpflichtet, benötigte Daten und Originaldateien vor Vertragsende eigenständig zu sichern.
4. Daten in technisch erforderlichen Sicherungen oder Replikationen werden nach den jeweiligen Überschreibungs- und Löschzyklen entfernt und bis dahin nur für Wiederherstellung, Systemsicherheit, gesetzliche Pflichten oder Rechtsverteidigung verarbeitet.
5. Vertrags-, Rechnungs- und Zahlungsdaten, für die die booxos GmbH selbst Verantwortliche ist, können entsprechend gesetzlicher Aufbewahrungsfristen länger gespeichert werden.

15. Haftung und Freistellung

1. Für die Haftung der Parteien gelten Art. 82 DSGVO, sonstige zwingende gesetzliche Vorschriften und die im Hauptvertrag wirksam vereinbarten Haftungsregelungen.
2. Jede Partei haftet entsprechend ihrem Verantwortungs- und Einflussbereich. Gesetzliche Ausgleichs- und Rückgriffsansprüche bleiben unberührt.
3. Der Auftragsverarbeiter haftet nicht für Schäden, die ausschließlich auf rechtswidrigen Weisungen, fehlenden Rechtsgrundlagen, unzulässigen Inhalten, fehlerhafter Berechtigungsvergabe oder sonstigen Pflichtverletzungen des Verantwortlichen beruhen, soweit der Auftragsverarbeiter seine eigenen Pflichten erfüllt hat.
4. Der Verantwortliche stellt den Auftragsverarbeiter von berechtigten Ansprüchen Dritter frei, soweit diese auf einer schuldhaften Pflichtverletzung des Verantwortlichen beruhen. Der Auftragsverarbeiter informiert den Verantwortlichen und ermöglicht ihm eine angemessene Mitwirkung an der Rechtsverteidigung.

16. Laufzeit, Änderungen und Schlussbestimmungen

1. Diese Vereinbarung tritt mit elektronischer Annahme oder Beginn der Auftragsverarbeitung in Kraft und gilt für die Dauer der Verarbeitung personenbezogener Daten im Auftrag.
2. Eine isolierte ordentliche Kündigung dieser Vereinbarung ist ausgeschlossen, solange die Auftragsverarbeitung fortbesteht. Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.
3. Änderungen dieser Vereinbarung bedürfen mindestens der Textform. Änderungen aufgrund gesetzlicher, technischer oder organisatorischer Entwicklungen dürfen vorgenommen werden, wenn das Schutzniveau nicht unangemessen abgesenkt wird. Wesentliche Änderungen werden rechtzeitig mitgeteilt.
4. Bei Widersprüchen gehen zwingendes Datenschutzrecht und diese Vereinbarung einschließlich ihrer Anlagen den AGB und sonstigen Leistungsbeschreibungen vor.
5. Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz der booxos GmbH.
6. Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften.

Anlage 1 - Beschreibung der Verarbeitung

1. Gegenstand und Zwecke

• Bereitstellung und Betrieb der SaaS-Plattform Mativco für Ausbildungsunternehmen.
• Einrichtung und Verwaltung von Unternehmenskonten, Administratoren, Mitarbeitern und Auszubildenden.
• Verwaltung von Unternehmenszuordnungen, Mitgliedsanträgen, Einladungen, Rollen und Berechtigungen.
• Erstellung und Bereitstellung öffentlicher, interner und privater Fotogalerien.
• Speicherung von Originalbildern sowie Erstellung komprimierter Versionen und Vorschaubilder.
• Bereitstellung von Likes, Reaktionen, Push-Benachrichtigungen und transaktionalen E-Mails.
• Support, Bearbeitung gemeldeter Inhalte, Fehleranalyse, Sicherheit und technische Protokollierung.

2. Art der Verarbeitung

• Erheben und Erfassen
• Ordnen, Strukturieren und Zuordnen
• Speichern und Vorhalten
• Komprimieren und Größenanpassen von Bilddateien
• Erstellen von Vorschaubildern
• Auslesen und Speichern technischer Bildmetadaten
• Anzeigen und Bereitstellen für berechtigte Nutzer
• Übermitteln an technisch erforderliche Dienstleister
• Protokollieren und Auswerten sicherheitsrelevanter Ereignisse
• Berichtigen, Einschränken, Sperren und Löschen
• Wiederherstellen, soweit technisch möglich und vorgesehen

3. Kategorien betroffener Personen

• Auszubildende, einschließlich minderjähriger Auszubildender ab 16 Jahren
• Administratoren, Mitarbeiter, Ausbilder und Personalverantwortliche des Verantwortlichen
• Praktikanten, künftige und ehemalige Auszubildende, soweit sie die Plattform nutzen oder Daten fortbestehen
• Teilnehmer betrieblicher Veranstaltungen
• Auf hochgeladenen Fotos abgebildete Personen
• Ansprechpartner und Supportkontakte des Verantwortlichen
• Sonstige eingeladene oder zugeordnete Nutzer

4. Kategorien personenbezogener Daten

• Stammdaten: Vor- und Nachname, E-Mail-Adresse, Benutzer-ID, Kontostatus, Profilbild.
• Organisationsdaten: Unternehmen, Anschrift, Logo, Rolle, Berechtigungen, Unternehmens- und Galeriezuordnung.
• Bilddaten: Originalfotos, komprimierte Versionen, Vorschaubilder, Dateinamen, Dateigrößen, Formate und Bildabmessungen.
• Bildmetadaten: Aufnahmezeitpunkt, Kamera- und Geräteinformationen sowie gegebenenfalls Standort- und GPS-Daten, soweit in Dateien enthalten und technisch übernommen.
• Interaktionsdaten: Likes, Reaktionen, Mitgliedsanträge, Einladungen, Meldungen und Moderationsentscheidungen.
• Nutzungs- und Protokolldaten: Anmeldezeitpunkte, IP-Adresse, Browser, Gerät, Betriebssystem, Uploadzeitpunkt, administrative Änderungen, Fehler- und Diagnosedaten.
• Kommunikations- und Supportdaten: Name, E-Mail-Adresse, Unternehmenszugehörigkeit, Inhalte von Anfragen, Screenshots und freiwillige Anhänge.
• Push-Daten: Push-Token, App- und Geräteinformationen, Zustellinformationen.

5. Besondere Kategorien personenbezogener Daten

Mativco ist nicht zur gezielten Verarbeitung besonderer Kategorien personenbezogener Daten bestimmt. Solche Informationen können jedoch mittelbar auf Fotos erkennbar werden, etwa Gesundheitsinformationen, religiöse Überzeugungen, ethnische Herkunft, politische Meinungen oder Informationen über Behinderungen. Der Verantwortliche muss das Hochladen solcher Inhalte vermeiden oder eine ausreichende Rechtsgrundlage sicherstellen.

6. Dauer und Löschfristen

Die Verarbeitung erfolgt während der Vertragslaufzeit und bis zur vollständigen Löschung. Protokolldaten werden grundsätzlich 30 Tage gespeichert. Nach Vertragsende kann ein eingeschränkter Zugriff bis zu 14 Tage bestehen; die endgültige Löschung des Unternehmenskontos und seiner Inhalte erfolgt grundsätzlich spätestens sechs Monate nach Vertragsende.

Anlage 2 - Technische und organisatorische Maßnahmen

Die nachfolgenden Maßnahmen beschreiben den vorgesehenen und mit der tatsächlichen technischen Umsetzung abzugleichenden Sicherheitsstandard von Mativco.

1. Datenschutzorganisation

Festgelegte Verantwortlichkeiten für Datenschutz und Informationssicherheit; Vertraulichkeitsverpflichtung autorisierter Mitarbeiter; geregelte Bearbeitung von Datenschutzanfragen und Sicherheitsvorfällen; regelmäßige und anlassbezogene Überprüfung der Maßnahmen.

2. Zutrittskontrolle

Betrieb produktiver Systeme in Rechenzentren professioneller Hosting- und Cloudanbieter; physische Zutrittskontrollen durch die Anbieter; betrieblich genutzte Räume sind nicht öffentlich zugänglich; keine frei zugängliche Speicherung produktiver Kundendaten auf lokalen Datenträgern.

3. Zugangskontrolle

Individuelle Benutzerkonten; Anmeldung per E-Mail und Passwort sowie optional Apple- und Google-Login; Passwortverwaltung über Supabase Auth; administrative Zugänge nur für autorisierte Personen; Gerätesperren und aktuelle Systeme; Sperrung nicht mehr benötigter Zugänge.

4. Zugriffskontrolle

Rollenbasiertes Berechtigungssystem für Administratoren, Mitarbeiter und Auszubildende; serverseitige Berechtigungsprüfung; Zugriff interner Mitarbeiter nur für Support, Fehleranalyse, Moderation, Sicherheit oder gesetzliche Pflichten; Need-to-know-Prinzip.

5. Mandantentrennung

Logische Trennung der Daten verschiedener Unternehmenskunden; eindeutige Zuordnung von Nutzern, Galerien, Bildern und Berechtigungen; serverseitige Prüfung der Unternehmens- und Galeriezugehörigkeit.

6. Übertragungssicherheit

Verschlüsselte Übertragung über HTTPS/TLS; authentifizierte Schnittstellen; sichere Verwaltung von API-Schlüsseln und Systemgeheimnissen; Beschränkung von Push-Inhalten auf das erforderliche Maß; keine Übermittlung besonders sensibler Daten über WhatsApp Business.

7. Verschlüsselung und Geheimnisverwaltung

Schutz gespeicherter Daten entsprechend den Sicherheitsstandards der eingesetzten Anbieter; Geheimnisse nicht im öffentlich zugänglichen Quellcode; Beschränkung produktiver Schlüssel auf erforderliche Systeme und Mitarbeiter; Austausch bei Sicherheitsverdacht.

8. Protokollierung und Eingabekontrolle

Protokollierung von Anmeldezeitpunkten, IP-Adressen, Geräte- und Browserinformationen, Uploads, Rollen- und Berechtigungsänderungen, Mitgliedsanträgen, Einladungen, administrativen Änderungen und Sicherheitsereignissen; grundsätzliche Löschung oder Anonymisierung nach 30 Tagen.

9. Integrität und Änderungsmanagement

Serverseitige Validierung relevanter Eingaben; beschränkte produktive Datenbankzugriffe; kontrollierte Bereitstellung von Softwareänderungen; zeitnahe Sicherheitsupdates; Schutz vor unberechtigter Veränderung.

10. Verfügbarkeit und Belastbarkeit

Nutzung professioneller Hosting- und Cloudinfrastrukturen; Überwachung wesentlicher Dienste, soweit verfügbar; priorisierte Bearbeitung kritischer Störungen; Nutzung von Support- und Eskalationswegen externer Anbieter; planbare Wartungsarbeiten werden nach Möglichkeit angekündigt.

11. Datensicherung und Wiederherstellung

Automatische Sicherungen, Replikationen oder Wiederherstellungspunkte können durch eingesetzte Anbieter bereitgestellt werden; Zugriff nur für autorisierte Mitarbeiter; Sicherungen dienen Wiederherstellung, Fehlerbehebung und Sicherheit; Löschung im jeweiligen Sicherungszyklus; keine Garantie der Wiederherstellung jeder einzelnen gelöschten Datei.

12. Sichere Löschung

Löschung bei Wegfall des Zwecks und Fehlen entgegenstehender Pflichten; Nutzer können eigene Fotos löschen; Administratoren können Inhalte und Zuordnungen entfernen; Sperrung nach Vertragsende und endgültige Löschung grundsätzlich spätestens nach sechs Monaten; getrennte Behandlung gesetzlich aufzubewahrender Daten.

13. Datenschutzfreundliche Voreinstellungen

Private Galerien nur für eingeladene Nutzer; interne Galerien nur für Unternehmensmitglieder; öffentliche Sichtbarkeit nur durch Administratoren oder berechtigte Mitarbeiter; keine Nutzung von Kundenfotos für Werbung oder KI-Training; Push-Mitteilungen deaktivierbar, soweit technisch möglich.

14. Datenminimierung

Beschränkung von Pflichtangaben und Protokollen auf erforderliche Daten; festgelegte Löschfristen; keine Verarbeitung für unvereinbare Zwecke; Standort- und GPS-Daten nur, soweit in Dateien enthalten und technisch erforderlich.

15. Entwicklungs- und Produktivumgebungen

Organisatorische oder technische Trennung, soweit umgesetzt; keine Verwendung produktiver Kundendaten für allgemeine Tests; bevorzugt künstliche, anonymisierte oder pseudonymisierte Testdaten; Zugriff auf Produktivsysteme nur für autorisierte Mitarbeiter.

16. Schutz administrativer Endgeräte

Gerätesperren, aktuelle Betriebssysteme und Anwendungen, beschränkte lokale Speicherung, Änderung von Zugangsdaten bei Verlust oder Kompromittierungsverdacht.

17. Incident Response

Dokumentiertes Verfahren zur Erkennung, Bewertung, Eindämmung, Behebung und Nachbereitung von Datenschutz- und Sicherheitsvorfällen; unverzügliche Information betroffener Auftraggeber; Ursachenanalyse und Verbesserungsmaßnahmen.

18. Auftragskontrolle

Verarbeitung nur im Rahmen des Vertrags und dokumentierter Weisungen; Prüfung der Weisungsberechtigung; Aussetzung offensichtlich rechtswidriger Weisungen; vertragliche Verpflichtung von Unterauftragsverarbeitern.

19. Wirksamkeitskontrolle

Regelmäßige und anlassbezogene Überprüfung bei technischen Änderungen, neuen Dienstleistern, Vorfällen oder Schwachstellen; Dokumentation wesentlicher Änderungen; risikobasierte Priorisierung festgestellter Mängel.

Anlage 3 - Unterauftragsverarbeiter

Die konkrete Vertragsgesellschaft, Anschrift, Region und Transfergrundlage sind vor produktiver Verwendung anhand des jeweils geltenden Vertrags beziehungsweise Data Processing Addendum zu verifizieren. Die Liste kann elektronisch aktualisiert werden.

Gesondert einzuordnende Anbieter

Stripe, WhatsApp Business sowie Apple- und Google-Login können abhängig von der konkreten Leistung ganz oder teilweise in eigener datenschutzrechtlicher Verantwortung handeln. Sie sind deshalb nicht automatisch Unterauftragsverarbeiter dieses AV-Vertrags und müssen in der Datenschutzerklärung sowie anhand der jeweiligen Vertragsunterlagen gesondert eingeordnet werden.

Anlage 4 - Weisungs- und Kontaktverfahren

1. Weisungsberechtigte Personen

• Im Unternehmenskonto hinterlegte Administratoren.
• Gesetzliche Vertreter des Verantwortlichen.
• Vom Verantwortlichen ausdrücklich benannte Datenschutz- oder IT-Ansprechpartner.

2. Weisungskanäle

• Administrationsfunktionen von app.mativco.com.
• E-Mail an legal@booxos.de.
• Bereitgestelltes Support- oder Datenschutzformular.

3. Mindestinhalt einer Einzelweisung

• Identität und Kontaktdaten der weisenden Person.
• Bezeichnung des betroffenen Unternehmenskontos.
• Konkrete Beschreibung der gewünschten Maßnahme.
• Betroffene Daten, Nutzer oder Galerien.
• Gewünschter Ausführungszeitpunkt und gegebenenfalls rechtliche Begründung.

4. Datenschutz- und Sicherheitskontakte

Auftragsverarbeiter booxos GmbH, Pfarrhofstraße 10, 79874 Breitnau
Datenschutzkontakt legal@booxos.de
Allgemeiner Kontakt legal@booxos.de
Web-App app.mativco.com

Anlage 5 - Löschkonzept und Aufbewahrungsfristen

1. Operative Daten während der Vertragslaufzeit

Nutzer und berechtigte Administratoren können eigene beziehungsweise verwaltete Inhalte über die vorgesehenen Funktionen löschen. Gelöschte Daten werden aus den operativen Systemen entfernt, soweit keine technische Übergangszeit, Sicherheitsmaßnahme, dokumentierte Weisung oder gesetzliche Pflicht entgegensteht.

2. Nutzerkonten

Persönliche Nutzerkonten werden nach berechtigter Löschanfrage und angemessener Identitätsprüfung gelöscht. Bereits hochgeladene Fotos können in Galerien fortbestehen, soweit keine Löschpflicht besteht. Die Kontozuordnung wird entfernt oder pseudonymisiert, soweit dies erforderlich und technisch vorgesehen ist.

3. Protokolldaten

Sicherheits- und Nutzungsprotokolle werden grundsätzlich 30 Tage gespeichert und anschließend gelöscht oder anonymisiert. Eine längere Speicherung erfolgt nur zur Aufklärung konkreter Vorfälle, zur Rechtsverteidigung oder aufgrund gesetzlicher Pflichten.

4. Vertragsende

1. Bis zu 14 Tage nach Vertragsende kann ein eingeschränkter, insbesondere lesender Zugriff bestehen.
2. Danach wird das Unternehmenskonto vollständig gesperrt.
3. Die endgültige Löschung des Unternehmenskontos und seiner Inhalte erfolgt grundsätzlich spätestens sechs Monate nach Vertragsende.
4. Eine frühere Löschung kann auf dokumentierte Weisung erfolgen, soweit keine entgegenstehenden Gründe bestehen.

5. Backups und Replikationen

Daten in Sicherungen, Replikationen oder Wiederherstellungspunkten werden im jeweiligen Überschreibungs- und Löschzyklus entfernt. Bis dahin sind sie gegen produktive Nutzung gesperrt und dürfen nur für Wiederherstellung, Sicherheit, gesetzliche Pflichten oder Rechtsverteidigung verarbeitet werden.

6. Gesetzliche Aufbewahrung

Rechnungs-, Zahlungs- und Vertragsdaten können aufgrund handels- und steuerrechtlicher Aufbewahrungspflichten länger gespeichert werden. Die booxos GmbH handelt hinsichtlich dieser Daten regelmäßig in eigener datenschutzrechtlicher Verantwortung.

Elektronischer Abschluss

Diese Vereinbarung wird elektronisch abgeschlossen. Der Verantwortliche bestätigt im Rahmen der Registrierung oder Bestellung, dass er die Vereinbarung einschließlich ihrer Anlagen vor Vertragsschluss einsehen und dauerhaft speichern kann, zum Abschluss berechtigt ist und die Vereinbarung annimmt.

Der elektronische Abschluss wird durch die booxos GmbH mit Unternehmensbezeichnung, Unternehmenskonto, handelnder Person, Datum, Uhrzeit und Dokumentversion dokumentiert.

Verantwortlicher gemäß Registrierung / Bestellung
Auftragsverarbeiter booxos GmbH
Dokumentversion 1.0
Stand 16. Juli 2026

Eine unterzeichnete Ausfertigung dieses AV-Vertrags stellen wir Unternehmenskunden ab dem Tarif Team S auf Anfrage bereit: legal@booxos.de