Anlagen zum Auftragsverarbeitungsvertrag
Version 2026-10-15 · 15. Oktober 2026 · Bestandteil des AVV derselben Version
Anlage 1 – Auftrag und Daten
Auftraggeber ist das in der zugehörigen Bestellung bezeichnete Unternehmen; seine legitimierten Unternehmensverantwortlichen sind weisungsberechtigt. Auftragnehmer ist die Simplarix GmbH. Kontakt für Weisungen und Vorfälle: contact@simple-dpp.com. Die Geschäftsführer Noah Bauditz, Marc Franzki und Philipp Sigfanz übernehmen die Bearbeitung. Geänderte Ansprechpartner werden in Textform oder durch die berechtigte Unternehmensverwaltung mitgeteilt.
Verarbeitet werden die vom Kunden bestimmten Produktpass-, Produkt-, Marken-, Dokument- und Gestaltungsdaten sowie zugehörige Berechtigungs- und Änderungsinformationen. Sie können Namen, berufliche Kontaktdaten, Zuordnungen zu Unternehmen/Funktionen sowie personenbezogene Angaben in Dokumenten und Freigaben enthalten. Betroffene können Beschäftigte, Beauftragte, Geschäftspartner und vom Kunden benannte Kontaktpersonen sein. Besondere Kategorien nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO sind ohne gesonderte Vereinbarung nicht vorgesehen.
Zweck ist die vereinbarte Verwaltung, Strukturierung, Versionierung und gesteuerte Bereitstellung von Produktinformationen. Verarbeitung umfasst Erheben beziehungsweise Übernehmen, Ordnen, Speichern, Ändern, berechtigten Abruf, vom Kunden veranlasste Veröffentlichung, Export und Löschung. Dauer: Vertrag einschließlich zulässiger Übergangs-/Abruffristen und erforderlicher Abwicklung. Eigene Konto-, Abrechnungs- und Sicherheitszwecke des Anbieters sind in den Datenschutzhinweisen getrennt beschrieben.
Anlage 2 – Sicherheit und tatsächlicher Startbetrieb
Die folgenden Angaben beschreiben den vereinbarten Betriebsumfang. Sie sind keine Zertifizierung, kein Prüfbericht über sämtliche internen Verfahren und keine Zusage nicht vorhandener Maßnahmen. Die Pflichten aus Art. 32 DSGVO und dem AVV bleiben bestehen.
| Bereich | Maßnahmen und Grenzen |
|---|---|
| Übertragung | Öffentliche App/API-Verbindungen über HTTPS; Weiterleitung von HTTP, Sicherheitsheader und eingeschränkte CORS-Origins. Mailversand über TLS. Keine allgemeine Ende-zu-Ende-Verschlüsselung von E-Mails zugesagt. |
| Zugriff und Mandanten | Persönliche Konten, Berechtigungen und Unternehmenszuordnung; mandantenbezogene Zugriffskontrollen. Administrative Zugänge sind auf erforderliche Personen zu begrenzen und bei Wegfall zu entziehen. |
| Signatur | Angebundener OpenBao-Schlüsseldienst mit privaten, nicht über die App exportierbaren Signaturschlüsseln und eingeschränkten App-Berechtigungen. Signaturen ersetzen keine Datensicherung. |
| Dateien | Dateigrößen-/Typ- und Malware-Prüfung, Berechtigungen für nicht öffentliche Dateien. Keine Zusage, dass eine technische Prüfung jede Schadsoftware erkennt. |
| Nachvollziehbarkeit | Anwendungsseitige Änderungs-/Sicherheitsnachweise und versionierte Inhalte, soweit im jeweiligen Ablauf implementiert; berechtigter Zugriff zur Fehler- und Vorfallbearbeitung. |
| Umgebungen und Änderungen | Getrennte Production-/Staging-Umgebungen, versionierte Releases, Sicherheits-/Abhängigkeitsprüfungen und überprüfte Deployments. Keine Produktionsgeheimnisse in öffentlichen Quelltexten. |
| Support und Vorfälle | Geschäftsführerkontakt, täglich geprüftes Postfach/Betriebsmeldungen, Bearbeitung nach Dringlichkeit. Keine 24/7-Bereitschaft oder feste Reaktionsfrist. Datenschutzvorfälle sind nach Bekanntwerden unverzüglich entsprechend dem AVV mitzuteilen. |
| Verfügbarkeit und Wiederherstellung | Ein produktiver VPS in Nürnberg. Derzeit kein externer Backup-/Archivdienst und keine zugesicherte Wiederherstellung aus getrennten Sicherungen. Server-/Datenträgerverlust kann zu Datenverlust führen. Keine RPO-/RTO-, Rechenzentrumsredundanz- oder SLA-Zusage. |
| Speicherung | Zugriffsschutz durch die Anwendung und Administration. Eine umfassende Verschlüsselung aller gespeicherten Daten oder ein bestimmtes Hosterzertifikat ist nicht als geprüft zugesagt. |
| Organisation | Zugriff nur im erforderlichen Umfang; Vertraulichkeit, Weisungsbearbeitung, Dienstleisterkontrolle und Unterstützung nach AVV sind Pflichten des Auftragnehmers. Ein abgeschlossener externer Datenschutz-/TOM-Audit wird nicht behauptet. |
Cloudflare wird für DNS genutzt, nicht als Inhaltsproxy/WAF des SimpleDPP-Angebots. Für Anforderungen an höhere Verfügbarkeit, besondere Datenarten oder regulatorische Dauerbereitstellung muss der Betriebsumfang vor der betreffenden Nutzung gesondert vereinbart und eingerichtet werden. Ein Vertragstext allein hebt eine technische Veröffentlichungssperre nicht auf.
Anlage 3 – Auftragsverarbeiter und Abgrenzung
| Anbieter | Aufgabe und betroffene Daten | Standort-/Rollenangabe |
|---|---|---|
| netcup GmbH, Deutschland | VPS-Infrastruktur für App/API, Datenbank, Dateien und Website; dort gespeicherte Kundenbestände und notwendige Betriebsdaten | Gebuchter operativer VPS-Standort Nürnberg, Deutschland. Administrative Unterstützung nur im erforderlichen Umfang. |
| Infomaniak Network SA, Schweiz | Mailversand; Empfänger, erforderlicher Nachrichteninhalt und technische Zustelldaten, insbesondere bei Einladungen | Mail-Infrastruktur laut Anbieter in der Schweiz. Der notwendige Versand zum Empfängersystem ist zu berücksichtigen. |
Für Änderungen gelten Vorabinformation und Widerspruchsverfahren des AVV. Diese Liste bescheinigt weder einen bereits geprüften Abschluss sämtlicher interner Anbietervereinbarungen noch eine nicht verifizierte vollständige Liste aller vorgelagerten Infrastrukturpartner. Der Auftragnehmer muss die Voraussetzungen der Unterbeauftragung erfüllen und stellt erforderliche konkrete Auskünfte/Nachweise nach dem AVV bereit; die bloße Veröffentlichung dieser Anlage ersetzt das nicht.
Cloudflare ist DNS-Anbieter und erhält im DNS-only-Betrieb nicht den HTTP(S)-Inhalt der Kundenpässe. Stripe dient der eigenen Vertrags-/Zahlungsabwicklung des Anbieters; Google Analytics der optionalen Marketing-Website-Analyse und WhatsApp einer freiwillig gewählten externen Kontaktaufnahme. Diese Rollen werden in den Datenschutzhinweisen erläutert und sind keine pauschale Genehmigung zum Zugriff auf Kundeninhalte. Ein externer Backup-/Archivdienst ist nicht beauftragt; IONOS gehört daher nicht zur eingesetzten Unterauftragskette.
Anlage 4 – Rückgabe und Löschung
Der Auftraggeber kann während des Vertrags und innerhalb des vereinbarten Abruffensters Rückgabe oder Löschung anweisen. Wir prüfen Berechtigung und entgegenstehende Pflichten. Für gewöhnliche Arbeitsdaten gilt das 90-Tage-Fenster nach Vertragsende beziehungsweise nach Ende des Wechsel-Übergangszeitraums. Eine zulässige frühere Löschweisung geht vor; ein fehlgeschlagener Wechsel löst keine vorzeitige Löschung aus.
Rückgabe erfolgt nach dem Formatverzeichnis der Leistungsbeschreibung über einen vereinbarten geschützten Übertragungsweg. Ein vollständiger automatischer Self-Service-Export ist nicht zugesagt. Temporäre, für die Übergabe erzeugte Kopien werden nach bestätigter Übergabe beziehungsweise Ablauf der vereinbarten Abruffrist entfernt, soweit kein zulässiger weiterer Zweck besteht.
Nach dem Abruffenster werden nicht mehr erforderliche auftragsbezogene Daten einschließlich Dateien, vorhandener Versionen, Zuordnungen und temporärer Kopien gelöscht. Die Durchführung wird dokumentiert und auf Anfrage bestätigt. Eine allgemeine automatische Löschung sämtlicher Datenkategorien wird nicht als bereits umgesetzt beschrieben; die Pflicht ist erforderlichenfalls durch die berechtigten Betriebsverantwortlichen auszuführen.
Gesetzlich aufzubewahrende eigene Rechnungs-/Vertragsnachweise werden auf den erforderlichen Umfang beschränkt und getrennt zweckgebunden behandelt. Sie begründen keine Aufbewahrung aller Produktpassinhalte. Externe Sicherungskopien gibt es im aktuellen Betriebsumfang nicht. Für später vereinbarte Backups sind Fristen, Zugriff und die erneute Anwendung von Löschungen nach Restore vor Einsatz gesondert zu regeln. Es gibt keinen unbegrenzten Vorbehalt für technisch angeblich nicht löschbare Bestände.