Vereinbarung zur Auftragsverarbeitung (AVV)

Parteien

zwischen

dem Kunden (im Folgenden: „Verantwortlicher")
– gemäß den Angaben im Vertrag bzw. im Account-Setup –

und

Typzee UG (haftungsbeschränkt)
Geschäftsführer: Eric Fröhlich
Paul-Bertz-Straße 8, 09120 Chemnitz, Deutschland
Amtsgericht Chemnitz, HRB 37269
E-Mail: privacy@fynspark.com
(im Folgenden: „Auftragsverarbeiter" oder „Fynspark")

– beide gemeinsam: „Parteien" –

Präambel

Der Verantwortliche nutzt die SaaS-Plattform „Fynspark" der Typzee UG (haftungsbeschränkt) auf Grundlage des zwischen den Parteien geschlossenen Hauptvertrags (Nutzungsbedingungen / AGB / Service-Vertrag — im Folgenden: „Hauptvertrag"). Im Rahmen der Leistungserbringung verarbeitet Fynspark personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien gemäß Art. 28 DSGVO und gilt für sämtliche Verarbeitungen personenbezogener Daten, die Fynspark im Rahmen des Hauptvertrags durchführt.

Verhältnis zum Hauptvertrag

Diese Vereinbarung ist Bestandteil des Hauptvertrags. Bei Widersprüchen zwischen dieser Vereinbarung und den übrigen Bestandteilen des Hauptvertrags gehen die Regelungen dieser Vereinbarung in datenschutzrechtlichen Fragen vor.

Zustandekommen

Diese Vereinbarung wird wirksam:

• durch ausdrückliche Einbeziehung im Rahmen der Registrierung oder Bestellung des Verantwortlichen; die Akzeptanz kann zu Nachweiszwecken dokumentiert werden; oder
• alternativ durch beidseitige Unterzeichnung dieser Vereinbarung in physischer oder qualifizierter elektronischer Form, insbesondere für Enterprise-Kunden auf gesonderte Anforderung.

In beiden Fällen entfaltet diese Vereinbarung dieselbe rechtliche Bindungswirkung.

1. Gegenstand und Dauer der Auftragsverarbeitung

1.1 Gegenstand

Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten durch Fynspark im Rahmen der Bereitstellung der SaaS-Plattform „Fynspark" gemäß Hauptvertrag. Die Plattform kann KI-gestützte Funktionen zur Erstellung, Optimierung und Verwaltung von Inhalten bereitstellen.

1.2 Dauer

Diese Vereinbarung gilt ab Zustandekommen für die gesamte Laufzeit des Hauptvertrags. Sie endet automatisch mit Beendigung des Hauptvertrags. Pflichten, die ihrem Wesen nach über die Vertragsbeendigung hinauswirken (insbesondere Löschungs-, Geheimhaltungs- und Rückgabepflichten), bleiben bestehen.

2. Art, Zweck und Umfang der Verarbeitung

2.1 Zweck

Fynspark verarbeitet personenbezogene Daten ausschließlich zum Zweck der Erbringung der im Hauptvertrag vereinbarten Leistungen, insbesondere:

• Bereitstellung und Betrieb der SaaS-Plattform;
• Bereitstellung KI-gestützter Funktionen (Text-, Bild- und Recherche-Generierung);
• Verwaltung von Benutzer-Accounts, Teams, Rollen und Rechten;
• Abrechnung des Credits- und Plan-Verbrauchs;
• Support und Customer Messaging;
• Sicherheitsmonitoring, Missbrauchsabwehr und Erfüllung gesetzlicher Pflichten.

2.2 Art der Verarbeitung

Erhebung, Erfassung, Speicherung, Organisation, Ordnen, Strukturierung, Anpassung, Veränderung, Abfrage, Verwendung, Übermittlung, Verbreitung oder andere Form der Bereitstellung, Abgleich, Verknüpfung, Einschränkung, Löschung und Vernichtung personenbezogener Daten.

2.3 Kategorien betroffener Personen

• Nutzer (Mitarbeiter, Teammitglieder, Administratoren) des Verantwortlichen;
• Personen, deren Daten der Verantwortliche durch Eingabe in die Plattform (z. B. in Prompts, Brand-Hub-Inhalten, hochgeladenen Dateien) verarbeitet;
• Endkunden oder sonstige Dritte, soweit deren Daten vom Verantwortlichen in der Plattform verarbeitet werden.

2.4 Kategorien personenbezogener Daten

• Stamm- und Kontaktdaten (Name, E-Mail-Adresse, Sprache, Funktion);
• Authentifizierungsdaten (gehasht);
• Unternehmens- und Rechnungsdaten;
• Nutzungsdaten, Log- und Verbindungsdaten;
• vom Verantwortlichen erstellte Inhalte: Prompts, hochgeladene Dateien, generierte Texte und Bilder, Brand-Voice-Daten, Editor-Inhalte, Recherche-Anfragen;
• Wallet-/Credits-Daten;
• alle weiteren personenbezogenen Daten, die der Verantwortliche im Rahmen der Nutzung in die Plattform einbringt.

2.5 Besondere Kategorien und sensible Daten

Die Plattform ist nicht spezifisch für die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO (z. B. Gesundheitsdaten, religiöse, politische oder weltanschauliche Daten, Daten zur sexuellen Orientierung, biometrische oder genetische Daten) oder Daten zu strafrechtlichen Verurteilungen nach Art. 10 DSGVO ausgelegt. Der Verantwortliche sollte solche Daten nur dann in die Plattform einbringen, wenn hierfür eine tragfähige Rechtsgrundlage besteht, die Verarbeitung für den jeweiligen Zweck erforderlich ist und er die damit verbundenen Risiken — insbesondere bei KI-gestützten Funktionen und eingesetzten Sub-Auftragsverarbeitern — zuvor angemessen bewertet hat. Fynspark empfiehlt, besondere Kategorien personenbezogener Daten und Daten nach Art. 10 DSGVO nach Möglichkeit nicht oder nur in anonymisierter bzw. pseudonymisierter Form zu verwenden.

3. Weisungsrecht des Verantwortlichen

3.1 Weisungsbindung

Fynspark verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Der Hauptvertrag und diese Vereinbarung einschließlich der Nutzung der Plattform durch den Verantwortlichen stellen die initialen Weisungen dar.

3.2 Form weiterer Weisungen

Weitere Weisungen erteilt der Verantwortliche in Textform an privacy@fynspark.com oder über die zentrale Account-Administration in der Plattform. Mündliche Weisungen werden unverzüglich in Textform bestätigt.

3.3 Rechtskonformität der Weisungen

Der Verantwortliche ist für die Rechtmäßigkeit seiner Weisungen verantwortlich.

3.4 Hinweispflicht

Fynspark informiert den Verantwortlichen unverzüglich, wenn nach Ansicht von Fynspark eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Fynspark ist berechtigt, die Ausführung der entsprechenden Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

3.5 Vergütung

Mehraufwand durch Sonderweisungen, die über die im Hauptvertrag vereinbarten Standardleistungen hinausgehen, kann gesondert berechnet werden.

4. Pflichten von Fynspark

Fynspark verpflichtet sich, insbesondere:

1. personenbezogene Daten ausschließlich im Rahmen der Weisungen des Verantwortlichen und für die im Hauptvertrag vereinbarten Zwecke zu verarbeiten;
2. Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, auf Vertraulichkeit zu verpflichten, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
3. geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO umzusetzen (siehe Anlage 1);
4. die in Ziffer 5 geregelten Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter einzuhalten;
5. den Verantwortlichen in angemessener Weise bei der Wahrung der Rechte betroffener Personen sowie bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen (siehe Ziffer 7 und 8);
6. dem Verantwortlichen die zur Erfüllung seiner Nachweispflichten erforderlichen Informationen zur Verfügung zu stellen sowie Audits zu ermöglichen oder daran mitzuwirken (siehe Ziffer 9);
7. nach Beendigung der Verarbeitung die personenbezogenen Daten nach Wahl des Verantwortlichen zurückzugeben oder zu löschen (siehe Ziffer 10);
8. einen Verantwortlichen für Datenschutzanfragen zu benennen: privacy@fynspark.com;
9. soweit gesetzlich erforderlich, ein Verzeichnis der im Auftrag des Verantwortlichen vorgenommenen Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO zu führen.

5. Sub-Auftragsverarbeiter (Unterauftragnehmer)

5.1 Allgemeine Genehmigung

Der Verantwortliche erteilt Fynspark hiermit die allgemeine Genehmigung im Sinne von Art. 28 Abs. 2 Satz 2 DSGVO zur Inanspruchnahme weiterer Auftragsverarbeiter (Sub-Auftragsverarbeiter), die zur Erbringung der Leistungen erforderlich sind.

5.2 Aktuelle Sub-Auftragsverarbeiter

Eine aktuelle Übersicht der eingesetzten Sub-Auftragsverarbeiter wird auf Anfrage an privacy@fynspark.com innerhalb angemessener Frist bereitgestellt. Nicht jeder Sub-Auftragsverarbeiter wird zwingend bei jeder Nutzung oder für jeden Kunden eingesetzt; der konkrete Einsatz hängt von den jeweils genutzten Funktionen, Einstellungen, Zahlungs- und Supportprozessen ab. Zum Zeitpunkt des Vertragsschlusses sind insbesondere folgende Sub-Auftragsverarbeiter eingesetzt:

Hinweis zur Rollenverteilung: Soweit einzelne der vorgenannten Anbieter im Hinblick auf einzelne Verarbeitungsvorgänge nach datenschutzrechtlicher Bewertung nicht als Auftragsverarbeiter im Sinne des Art. 28 DSGVO, sondern als eigenständige oder gemeinsam Verantwortliche im Sinne des Art. 26 DSGVO handeln (insbesondere im Bereich Marketing-Pixel und werbenetzwerkbasierter Conversion-Messung), gelten für diese Vorgänge die einschlägigen Regelungen der Datenschutzerklärung sowie die jeweiligen Vereinbarungen des Anbieters. Die Aufnahme eines Anbieters in die vorstehende Übersicht erfolgt zum Zweck transparenter Information und ersetzt diese Rollenbewertung nicht. Eine vollständige Übersicht der Rollen je Verarbeitungsvorgang ist in der Datenschutzerklärung dargestellt.

5.3 Vertragliche Bindung

Fynspark erlegt jedem Sub-Auftragsverarbeiter die Datenschutzpflichten dieser Vereinbarung vertraglich auf, soweit diese auf den jeweiligen Verarbeitungsumfang anwendbar sind. Bei Sub-Auftragsverarbeitern, die ein Standard-Data-Processing-Addendum vorgeben, gelten deren Bedingungen entsprechend, soweit sie das durch die DSGVO geforderte Schutzniveau erreichen.

5.4 Information bei Änderungen und Widerspruchsrecht

Fynspark informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder den Austausch von Sub-Auftragsverarbeitern mit angemessener Vorankündigung (in der Regel mindestens 30 Tage im Voraus) per E-Mail an die im Account hinterlegte Adresse oder durch Veröffentlichung in der Plattform.

Der Verantwortliche kann der Änderung innerhalb von 30 Tagen ab Information aus wichtigem datenschutzrechtlichen Grund widersprechen. Im Widerspruchsfall werden die Parteien gemeinsam eine angemessene Lösung suchen. Kommt eine solche nicht zustande, sind beide Parteien berechtigt, den Hauptvertrag im Hinblick auf die betroffenen Leistungen mit angemessener Frist zu kündigen.

5.5 Konzerninterne Dienstleister

Konzernverbundene Unternehmen der genannten Sub-Auftragsverarbeiter können in die Leistungserbringung eingebunden sein, soweit dies in den jeweiligen Datenschutzinformationen, Subprozessorlisten oder Data-Processing-Addenda des betreffenden Sub-Auftragsverarbeiters vorgesehen ist und ein im Wesentlichen gleichwertiges Datenschutzniveau gewährleistet wird. Soweit hierdurch ein neuer eigenständiger Sub-Auftragsverarbeiter im Sinne des Art. 28 DSGVO eingesetzt wird, gelten die Informations- und Widerspruchsregelungen dieser Vereinbarung.

5.6 Keine Sub-Auftragsverarbeitung

Reine Nebenleistungen wie Telekommunikationsdienste, Postdienste, Reinigungsdienste oder klassische Wartungsleistungen für Hardware und Software gelten nicht als Sub-Auftragsverarbeitung im Sinne dieser Vereinbarung.

6. Drittlandtransfer

6.1 Übermittlung in Drittländer

Im Rahmen der Leistungserbringung kann es zur Übermittlung personenbezogener Daten in Drittländer (insbesondere in die USA und das Vereinigte Königreich) kommen, insbesondere durch die in Ziffer 5.2 genannten Sub-Auftragsverarbeiter.

6.2 Schutzmaßnahmen

Soweit es im Rahmen der Leistungserbringung zu Übermittlungen in Drittländer kommt, stützt Fynspark diese — abhängig vom jeweiligen Empfänger und Verarbeitungsvorgang — insbesondere auf:

10. Angemessenheitsbeschlüssen der EU-Kommission nach Art. 45 DSGVO, insbesondere dem EU-U.S. Data Privacy Framework und dem Angemessenheitsbeschluss für das Vereinigte Königreich, soweit der jeweilige Empfänger entsprechend zertifiziert oder erfasst ist;
11. EU-Standardvertragsklauseln nach Art. 46 DSGVO (Durchführungsbeschluss (EU) 2021/914);
12. zusätzlichen technischen und organisatorischen Schutzmaßnahmen nach den Vorgaben der europäischen Datenschutzaufsichtsbehörden.

6.3 Bevollmächtigung für Standardvertragsklauseln

Soweit für den Einsatz von Sub-Auftragsverarbeitern außerhalb des EWR EU-Standardvertragsklauseln erforderlich sind, stellt Fynspark sicher, dass entsprechende vertragliche Garantien in der jeweils anwendbaren Konstellation abgeschlossen werden. Dies erfolgt insbesondere durch Abschluss geeigneter Standardvertragsklauseln oder durch Einbindung in die vom jeweiligen Sub-Auftragsverarbeiter bereitgestellten Data-Processing-Addenda.

7. Unterstützung bei Betroffenenrechten

7.1 Pflicht zur Unterstützung

Fynspark unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III DSGVO (insbesondere Art. 15 bis 22 DSGVO).

7.2 Direkte Anfragen

Wendet sich eine betroffene Person direkt an Fynspark, wird Fynspark die Anfrage unverzüglich an den Verantwortlichen weiterleiten und nicht eigenständig beantworten, es sei denn, dies ist gesetzlich vorgeschrieben oder mit dem Verantwortlichen anders vereinbart.

7.3 Bereitstellung von Funktionen

Soweit verfügbar, kann Fynspark dem Verantwortlichen in der Plattform Funktionen bereitstellen, mit denen der Verantwortliche Betroffenenrechte selbständig umsetzen kann (insbesondere Datenexport, Löschung von Inhalten und Accounts).

7.4 Vergütung

Über die in der Plattform verfügbaren Standardfunktionen hinausgehende Unterstützungsleistungen kann Fynspark nach Aufwand berechnen.

8. Datenschutzverletzungen und weitere Unterstützungspflichten

8.1 Meldung von Datenschutzverletzungen

Fynspark informiert den Verantwortlichen unverzüglich nach Kenntniserlangung über jede Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO, die Daten des Verantwortlichen betrifft. Die Meldung erfolgt so rechtzeitig, dass der Verantwortliche seine eigene Meldepflicht nach Art. 33 DSGVO (innerhalb von 72 Stunden) einhalten kann.

8.2 Inhalt der Meldung

Die Meldung enthält, soweit zum Zeitpunkt der Information verfügbar:

• eine Beschreibung der Art der Verletzung einschließlich der Kategorien und ungefähren Zahl der betroffenen Personen und Datensätze;
• den Namen und die Kontaktdaten des Ansprechpartners bei Fynspark;
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung;
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Folgenminderung.

Weitere Informationen werden nachgereicht, sobald sie verfügbar sind.

8.3 Unterstützungspflichten nach Art. 32 bis 36 DSGVO

Fynspark unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach:

• Art. 32 DSGVO (Sicherheit der Verarbeitung);
• Art. 33 und 34 DSGVO (Meldung und Benachrichtigung bei Datenschutzverletzungen);
• Art. 35 DSGVO (Datenschutz-Folgenabschätzung);
• Art. 36 DSGVO (vorherige Konsultation der Aufsichtsbehörde).

9. Nachweise und Audits

9.1 Nachweise

Fynspark stellt dem Verantwortlichen die zur Erfüllung der gesetzlichen Nachweispflichten angemessen erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung. Diese umfassen insbesondere:

• die jeweils aktuelle Fassung dieser Vereinbarung;
• die Beschreibung der technischen und organisatorischen Maßnahmen (Anlage 1);
• die aktuelle Liste der Sub-Auftragsverarbeiter (Ziffer 5.2);
• vorhandene Zertifikate, Testate und Audit-Berichte, soweit verfügbar.

9.2 Audits

Der Verantwortliche hat das Recht, die Einhaltung dieser Vereinbarung durch Fynspark zu überprüfen. Das Audit-Recht wird vorrangig durch Bereitstellung von Auskünften, Testaten und Selbst-Auskunftsbögen erfüllt.

Reichen diese im Einzelfall nicht aus, kann der Verantwortliche nach vorheriger Anmeldung mit angemessener Frist (in der Regel mindestens 30 Tage) während der üblichen Geschäftszeiten eine Vor-Ort-Prüfung durchführen oder durch einen sachverständigen Dritten durchführen lassen, der zur Verschwiegenheit verpflichtet ist und nicht in einem Wettbewerbsverhältnis zu Fynspark steht.

9.3 Häufigkeit

Vor-Ort-Audits sind auf einmal pro Kalenderjahr begrenzt, es sei denn, es liegen besondere Anhaltspunkte für einen Datenschutzverstoß vor oder eine zuständige Aufsichtsbehörde verlangt eine zusätzliche Prüfung.

9.4 Vergütung

Der Aufwand von Fynspark für die Mitwirkung an Audits kann nach tatsächlichem Aufwand berechnet werden, soweit das Audit nicht durch einen konkret nachgewiesenen Verstoß von Fynspark veranlasst ist.

10. Rückgabe und Löschung nach Vertragsende

10.1 Wahlrecht des Verantwortlichen

Nach Beendigung des Hauptvertrags wird Fynspark nach Wahl des Verantwortlichen alle im Auftrag verarbeiteten personenbezogenen Daten zurückgeben oder löschen.

10.2 Standardvorgehen

Sofern der Verantwortliche innerhalb von 30 Tagen nach Vertragsende keine abweichende Weisung erteilt, wird Fynspark die Daten löschen.

10.3 Datenexport

Der Verantwortliche kann seine Daten über die in der Plattform bereitgestellten Export-Funktionen jederzeit während der Vertragslaufzeit selbst exportieren.

10.4 Löschfristen

Die Löschung erfolgt regelmäßig innerhalb von 30 Tagen aus der Produktivumgebung. Aus Backups werden Daten im Rahmen des Backup-Rotationszyklus entfernt (regelmäßig innerhalb von 90 Tagen).

10.5 Gesetzliche Aufbewahrungspflichten

Gesetzliche Aufbewahrungspflichten (insbesondere nach §§ 257 HGB, 147 AO) bleiben unberührt. Daten, die solchen Aufbewahrungspflichten unterliegen, werden während der gesetzlichen Frist gesperrt und nur für die vorgeschriebenen Zwecke verarbeitet.

11. Haftung

Die Haftung der Parteien richtet sich nach den Regelungen des Hauptvertrags. Art. 82 DSGVO sowie zwingende gesetzliche Haftungsregelungen bleiben unberührt.

12. Schlussbestimmungen

12.1 Anwendbares Recht

Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

12.2 Gerichtsstand

Soweit gesetzlich zulässig, ist Gerichtsstand für alle Streitigkeiten aus dieser Vereinbarung der Sitz von Fynspark (Chemnitz).

12.3 Schriftform

Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Dies gilt auch für die Änderung dieser Klausel selbst.

12.4 Salvatorische Klausel

Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam oder undurchführbar sein oder werden, so wird die Wirksamkeit der übrigen Bestimmungen davon nicht berührt. Anstelle der unwirksamen oder undurchführbaren Bestimmung tritt eine wirksame und durchführbare Regelung, deren Wirkung der wirtschaftlichen Zielsetzung am nächsten kommt, die die Parteien mit der unwirksamen Bestimmung verfolgt haben.

12.5 Vorrang

Bei Widersprüchen zwischen Regelungen dieser Vereinbarung und Regelungen anderer Vertragsbestandteile gehen die Regelungen dieser Vereinbarung in datenschutzrechtlichen Fragen vor. Im Übrigen gelten die Regelungen des Hauptvertrags.

Anlage 1: Technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO

Fynspark setzt technische und organisatorische Maßnahmen ein, die unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere möglicher Risiken für die Rechte und Freiheiten betroffener Personen angemessen sind. Die Maßnahmen orientieren sich an der Größe, Struktur und technischen Ausgestaltung des Unternehmens sowie an der jeweils eingesetzten Infrastruktur. Die nachfolgende Beschreibung gibt den Stand zum Zeitpunkt des Vertragsschlusses wieder; Anpassungen im Rahmen technischer, organisatorischer oder rechtlicher Weiterentwicklung bleiben vorbehalten.

1. Schutz vor unbefugtem Zugriff (Vertraulichkeit)

• Verschlüsselung der Datenübertragung: TLS-Verschlüsselung (HTTPS) für alle Verbindungen zwischen Endgerät und Plattform.
• Schutz gespeicherter Daten: Hashing von Passwörtern; angemessene technische Schutzmaßnahmen.
• Zugriffskontrolle: Rollen- und rechtebasierte Zugriffskontrolle nach dem Need-to-know-Prinzip.
• Administrative Zugänge: Administrative Zugänge werden auf berechtigte Personen beschränkt und, soweit vom jeweiligen System unterstützt und organisatorisch eingerichtet, durch zusätzliche Schutzmaßnahmen wie starke Passwörter, rollenbasierte Berechtigungen oder Mehr-Faktor-Authentifizierung abgesichert.
• Physische Sicherheit: Hosting in Rechenzentren der STRATO AG in Deutschland.

2. Schutz vor unbefugter Veränderung (Integrität)

• Protokollierung sicherheitsrelevanter Vorgänge.
• Technische Schutzmaßnahmen gegen unbefugte Veränderung von Daten.
• Eingangs- und Eingabeprüfung.

3. Verfügbarkeit und Ausfallsicherheit

• Backup-Verfahren zur Unterstützung der Wiederherstellbarkeit nach Maßgabe der eingesetzten Infrastruktur und Backup-Routinen.
• Überwachung der grundlegenden Systemverfügbarkeit.
• Schutz vor netzbasierten Angriffen durch Cloudflare.

4. Trennung der Daten verschiedener Kunden

• Logische Trennung von Kundendaten in der Multi-Tenant-Architektur durch anwendungs- und datenbankseitige Zugriffsbeschränkungen.

5. Wiederherstellung im Notfall

• Backup-Speicherung im Rahmen der eingesetzten Hosting- und Infrastrukturumgebung, soweit verfügbar in deutschen oder europäischen Rechenzentren.

6. Kontrolle der Dienstleister

• Vertragliche Einbindung eingesetzter Sub-Auftragsverarbeiter nach Maßgabe von Art. 28 DSGVO, soweit diese personenbezogene Daten im Auftrag verarbeiten.
• Dokumentation der wesentlichen eingesetzten Sub-Auftragsverarbeiter und ihrer jeweiligen Zwecke.

7. Vertraulichkeit aller Beteiligten

• Verpflichtung aller Personen mit Datenzugriff auf die Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b und Art. 29 DSGVO.

8. Datenschutz durch Technikgestaltung und Voreinstellungen

• Datenminimierung in der Plattform-Architektur.
• Voreinstellungen werden datenschutzfreundlich gewählt, soweit dies mit den Funktionen vereinbar ist.

9. Verfahren zur Überprüfung und Bewertung

• Anlassbezogene Prüfung technischer und organisatorischer Maßnahmen, insbesondere bei wesentlichen technischen, organisatorischen oder rechtlichen Änderungen.
• Prüfung erkannter sicherheitsrelevanter Schwachstellen und angemessene Reaktion im Rahmen der technischen und organisatorischen Möglichkeiten.

10. Behandlung von Datenschutzverletzungen

• Interne Bewertung erkannter sicherheits- oder datenschutzrelevanter Vorfälle und Einleitung angemessener Maßnahmen nach Art, Umfang und Risiko des Vorfalls.
• Meldung gegenüber dem Verantwortlichen gemäß Ziffer 8 dieser Vereinbarung.

Anlage 2: Liste der Sub-Auftragsverarbeiter

Die jeweils aktuelle Liste der eingesetzten Sub-Auftragsverarbeiter wird auf Anfrage an privacy@fynspark.com bereitgestellt. Eine zum Zeitpunkt des Vertragsschlusses gültige Übersicht ist in Ziffer 5.2 dieser Vereinbarung enthalten.