Vertrag zur Auftragsverarbeitung gemäß Art. 28 DS-GVO

Version 2.0 – Stand: 11.09.2026

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AVV“) gilt zwischen

dem Kunden, der mit der cobra GmbH einen Vertrag über die Nutzung der Leistungen der cobra GmbH geschlossen hat und in dessen Auftrag hierbei personenbezogene Daten verarbeitet werden,

– Auftraggeber –

und

cobra GmbH

Line-Eid-Straße 1

78467 Konstanz

Gesetzlich vertreten durch die Geschäftsführer Benjamin Bruno und Philipp Kreis

– Auftragnehmer –

über Auftragsverarbeitung i.S.d. Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO).

Einbeziehung und Fassung

Dieser AVV wird durch Verweis in den Allgemeinen Geschäftsbedingungen der cobra GmbH (Ziffer 11) sowie in den Vertragsbedingungen Software-as-a-Service (SaaS) (Ziffer 1.4, beide abrufbar unter https://cobra.de/rechtliches/) einbezogen und mit Abgabe der Bestellung des Auftraggebers zusätzlich zum Hauptvertrag geschlossen. Einer gesonderten Unterzeichnung bedarf es nicht.

Der Auftragnehmer stellt diesen AVV unter https://cobra.de/rechtliches/ dauerhaft zum Abruf sowie zur Speicherung und zum Ausdruck bereit. Der Auftraggeber hat vor Abgabe seiner Bestellung Gelegenheit zur Kenntnisnahme.

Maßgeblich ist die Fassung, die zum Zeitpunkt des Vertragsschlusses abrufbar ist. Sie ist auf der ersten Seite durch Version und Stand gekennzeichnet. Für Änderungen dieses AVV gilt § 12.

Präambel

Diese Vereinbarung konkretisiert die Verpflichtungen der Vertragsparteien zum Datenschutz, die sich aus der im Hauptvertrag zur Leistungserbringung (je nach Auftrag insbesondere: Bereitstellung einer cloudbasierten Anwendungsplattform mit CRM-Funktionen (nachfolgend „cobra CRM Cloud“), Bereitstellung der cobra CRM Cloud für die Nutzung von Modulen weiterer Anbieter, Anbindung von Systemen des Auftraggebers und von Drittsystemen über Schnittstellen, Cloud-Hosting-Dienste, KI-gestützte Funktionen, Ferndiagnose/-wartung, Support- und Consultingleistungen) in ihren Einzelheiten beschriebenen Auftragsverarbeitung ergeben. Diese Vereinbarung gilt für alle Tätigkeiten, bei denen Beschäftigte des Auftragnehmers oder von ihm Beauftragte personenbezogene Daten des Auftraggebers verarbeiten.

§ 1 Gegenstand, Dauer und Spezifizierung der Auftragsverarbeitung

Aus dem Vertrag ergeben sich Gegenstand und Dauer des Auftrags sowie Art und Zweck der Verarbeitung. Im Einzelnen sind insbesondere die folgenden Daten Bestandteil der Datenverarbeitung:

(1) Art der Daten:

Personenstammdaten (z.B. Name und Anschrift, Bild)
Kommunikationsdaten (z.B. Telefonnummern, E-Mail-Adressen)
Vertragsstammdaten (Vertragsbeziehung, Produkt- bzw. Vertragsinteresse)
Kundenhistorie
Produktnutzungsdaten
Vertragsabrechnungs- und Zahlungsdaten
Kenndaten (z.B. Steueridentifikationsnummer, Ausweisnummer)
Planungs- und Steuerungsdaten
Auskunftsangaben (von Dritten, z.B. Auskunfteien, oder aus öffentlichen Verzeichnissen)
Bank- und Zahlungsverbindungsdaten
Inhalts- und Freitextdaten (z.B. Notizen, Belegtexte, Nachrichteninhalte)
Protokoll- und Nutzungsdaten der cobra CRM Cloud (Log-, Zugriffs- und Authentifizierungsdaten)
Eingaben und Ergebnisse KI-gestützter Funktionen einschließlich hieraus abgeleiteter Repräsentationen
Marketing- und Kampagnendaten (z.B. Zielgruppenzugehörigkeit, Kampagnenteilnahme, Reaktions- und Öffnungsdaten)
Einwilligungs- und Werbewiderspruchsdaten
Kommunikationsverläufe und Vorgangsdaten (z.B. E-Mail-Korrespondenz, Termine, Aufgaben, Telefonnotizen)
Daten aus der Erfassung physischer Dokumente (z.B. Visitenkartenerkennung)
Daten aus angebundenen Systemen des Auftraggebers oder Dritter, soweit der Auftraggeber deren Anbindung veranlasst
Eingaben und Ergebnisse KI-gestützter Funktionen einschließlich hieraus abgeleiteter Darstellungen (z.B. Dashboards)

(2) Art und Zweck der Datenverarbeitung

a. Diagnose, Wartung und Support vor Ort oder per Fernzugriff

b. Beratungs- und Einführungsleistungen

c. Datenanalysen/-reparaturen/-bearbeitung (Datensicherungen)

d. Parametrisieren/Individualisierungen

e. Formular-/Layoutgestaltungen

f. Bereitstellung von IT-Infrastruktur mit Speicherung und Sicherung der Daten im Rahmen der Cloud-Hosting-Dienste des Auftragnehmers

g. Nutzung von KI-Anwendungen zur Optimierung von Dienstleistungen, wie z.B. Analyse der Support-Kommunikation zur Erkennung wiederkehrender Probleme und zur Verbesserung von Serviceprozessen und Produktqualität

h. Automatisierte Beantwortung von Kundenanfragen anhand von Text- und Kontextdaten aus Tickets, E-Mails und Wissensquellen

i. Bereitstellung der cobra CRM Cloud mit CRM-Funktionen einschließlich Speicherung und Verwaltung der Daten des Auftraggebers in der cobra CRM Cloud

j. Bereitstellung KI-gestützter Auswertungs-, Abfrage- und Generierungsfunktionen auf Grundlage der Daten des Auftraggebers

k. Indexierung und Aufbereitung der Daten zur Ermöglichung semantischer Such- und Auswertungsfunktionen

l. Automatisierte Ausführung von Aufgaben durch KI-Agenten auf Weisung des Auftraggebers

m. Erfassung, Auslesen und Strukturierung von Daten aus übermittelten Dokumenten und Datenträgern (z.B. Visitenkartenerkennung)

n. Verwaltung und Durchführung von Kampagnen sowie Erstellung und Versand von Serienkommunikation im Auftrag des Auftraggebers

o. Zusammenführung, Bereinigung und Anreicherung von Datenbeständen, insbesondere Dublettenabgleich und Adressabgleich

p. Automatisierte Ausführung von Regeln und Ablaufsteuerungen (Workflows) in der Umgebung des Auftraggebers

q. Bereitstellung der cobra CRM Cloud einschließlich Benutzerverwaltung und Authentifizierung für Module weiterer Anbieter, soweit der Auftraggeber diese nutzt

Ein Training oder eine Weiterentwicklung von KI-Modellen mit den Daten des Auftraggebers findet nicht statt.

(3) Kategorien betroffener Personen
• Kunden
• Interessenten
• Abonnenten
• Lieferanten
• Handelsvertreter
• Ansprechpartner
• Beschäftigte des Auftraggebers
• Personen, deren Daten der Auftragnehmer im Auftrag verarbeitet
• Empfänger von Werbung und sonstiger Kampagnenkommunikation des Auftraggebers
• Nutzer der cobra CRM Cloud (Benutzerkonten des Auftraggebers)

(4) Ort der Verarbeitung

Die Verarbeitung und Speicherung der Daten erfolgt innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums. Die Daten des Auftraggebers werden in der cobra CRM Cloud gespeichert. Die Umgebungen mehrerer Auftraggeber werden logisch voneinander getrennt. Soweit der Auftraggeber Systeme Dritter oder eigene Systeme über Schnittstellen anbindet, werden die hieraus abgerufenen Daten nur insoweit gespeichert, wie dies zur Erbringung der vereinbarten Funktionen erforderlich ist.

Der Betrieb der cobra CRM Cloud erfolgt in Rechenzentren eines beauftragten Hosting-Dienstleisters innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums. Dieser wird in der Liste nach § 8 Abs. 6 ausgewiesen.

Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur, soweit der Auftraggeber dies durch Auswahl der entsprechenden Verarbeitungsoption nach § 4 veranlasst. Der Auftragnehmer stellt in diesem Fall die Einhaltung der Voraussetzungen des Kapitels V DS-GVO sicher.

Die Laufzeit dieses AVV richtet sich nach der Laufzeit des Vertrages, sofern sich aus den Bestimmungen dieses AVV nicht darüberhinausgehende Verpflichtungen ergeben.

§ 2 Anwendungsbereich und Verantwortlichkeit

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Dies umfasst Tätigkeiten, die im Vertrag und in der Leistungsbeschreibung konkretisiert sind. Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich („Verantwortlicher“ im Sinne des Art. 4 Nr. 7 DSGVO).

(2) Die Weisungen werden anfänglich durch den Vertrag festgelegt und können vom Auftraggeber danach in schriftlicher Form oder in einem elektronischen Format (Textform) an die vom Auftrag-
nehmer bezeichnete Stelle durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung). Weisungen, die im Vertrag nicht vorgesehen sind, werden als Antrag auf Leistungsänderung behandelt. Mündliche Weisungen sind unverzüglich schriftlich oder in Textform zu bestätigen.

§ 3 Pflichten des Auftragnehmers

(1) Der Auftragnehmer darf Daten von betroffenen Personen nur im Rahmen des Auftrages und der Weisungen des Auftraggebers verarbeiten, außer es liegt ein Ausnahmefall im Sinne des Artikel 28 Abs. 3 a) DSGVO vor. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen anwendbare Gesetze verstößt. Der Auftragnehmer darf die Umsetzung der Weisung solange aussetzen, bis sie vom Auftraggeber bestätigt oder ab- geändert wurde.

(2) Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Er wird technische und organisatorische Maßnahmen zum angemessenen Schutz der Daten des Auftraggebers treffen, die den Anforderungen der Datenschutz- Grundverordnung (Art. 32 DSGVO) genügen. Der Auftragnehmer hat technische und organisatorische Maßnahmen zu treffen, die die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherstellen. Der Auftragnehmer gewährleistet, dass die getroffenen Maßnahmen für die Risiken der vertragsgegenständlichen Verarbeitung ein angemessenes Schutzniveau bieten. Dem Auftraggeber sind diese Maßnahmen bekannt; er prüft ihre Eignung für die von ihm verfolgten Zwecke.

Eine Änderung der getroffenen Sicherheitsmaßnahmen bleibt dem Auftragnehmer vorbehalten, wobei jedoch sichergestellt sein muss, dass das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.

(3) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Anfragen und Ansprüche betroffenen Personen gem. Kapitel III der DSGVO sowie bei der Einhaltung der in Art. 33 bis 36 DSGVO genannten Pflichten.

(4) Der Auftragnehmer gewährleistet, dass es den mit der Verarbeitung der Daten des Auftraggebers befassten Mitarbeiter und andere für den Auftragnehmer tätigen Personen untersagt ist, die Daten außerhalb der Weisung zu verarbeiten. Ferner gewährleistet der Auftragnehmer, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeits-/ Verschwiegenheitspflicht besteht auch nach Beendigung des Auftrages fort.

(5) Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, wenn ihm Verletzungen des Schutzes personenbezogener Daten des Auftraggebers bekannt werden. Der Auftragnehmer trifft die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen der betroffenen Personen und spricht sich hierzu unverzüglich mit dem Auftraggeber ab.

(6) Der Auftragnehmer nennt dem Auftraggeber den Ansprechpartner für im Rahmen des Vertrages anfallende Datenschutzfragen.

(7) Der Auftragnehmer gewährleistet, seinen Pflichten nach Art. 32 Abs. 1 d) DSGVO nachzukommen, ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung einzusetzen.

(8) Der Auftragnehmer berichtigt oder löscht die vertragsgegenständlichen Daten, wenn der Auftraggeber dies anweist und dies vom Weisungsrahmen umfasst ist. Ist eine datenschutzkonforme Löschung oder eine entsprechende Einschränkung der Datenverarbeitung nicht möglich, übernimmt der Auftragnehmer die datenschutzkonforme Vernichtung von Datenträgern und sonstigen Materialien auf Grund einer Einzelbeauftragung durch den Auftraggeber oder gibt diese Datenträger an den Auftraggeber zurück, sofern nicht im Vertrag bereits vereinbart.

(9) Daten, Datenträger sowie sämtliche sonstige Materialien einschließlich der hieraus abgeleiteten Repräsentationen und Indizes sind nach Auftragsende auf Verlangen des Auftraggebers entweder herauszugeben oder zu löschen.

Im Falle von Test- und Ausschussmaterialien ist eine Einzelbeauftragung nicht erforderlich. Entstehen zusätzliche Kosten durch abweichende Vorgaben bei der Herausgabe oder Löschung der Daten, so trägt diese der Auftraggeber.

(10) Im Falle einer Inanspruchnahme des Auftraggebers durch eine betroffene Person hinsichtlich etwaiger Ansprüche nach Art. 82 DSGVO, verpflichtet sich der Auftragnehmer den Auftraggeber bei der Abwehr des Anspruches im Rahmen seiner Möglichkeiten zu unterstützen.

§ 4 Steuerung der KI-Verarbeitung durch den Auftraggeber

(1) Der Auftragnehmer stellt Verarbeitungsoptionen bereit, über die der Auftraggeber bestimmt, ob KI-gestützte Funktionen ausschließlich über Anbieter mit Verarbeitung innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums oder auch über Anbieter mit Verarbeitung in Drittländern erbracht werden. Die Optionen werden nach dem Grad der Verarbeitung personenbezogener Daten differenziert bereitgestellt.

(2) Die Auswahl erfolgt auf Ebene der Umgebung des Auftraggebers und ist den von ihm benannten Administratoren vorbehalten. Voreingestellt ist die datenschutzfreundlichere Option.

(3) Der Auftragnehmer weist dem Auftraggeber aus, welche weiteren Auftragsverarbeiter aufgrund der gewählten Einstellung zum Einsatz kommen. Die Auswahl gilt als Weisung im Sinne des § 2 Abs. 2.

§ 5 Pflichten des Auftraggebers

(1) Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er in den Auftragsergebnissen Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.

(2) Im Falle einer Inanspruchnahme des Auftraggebers durch eine betroffene Person hinsichtlich etwaiger Ansprüche nach Art. 82 DSGVO, gilt § 3 Abs. 10 entsprechend.

(3) Der Auftraggeber nennt dem Auftragnehmer den Ansprechpartner für im Rahmen des Vertrages anfallende Datenschutzfragen.

§ 6 Anfragen betroffener Personen

Wendet sich eine betroffene Person mit Forderungen zur Berichtigung, Löschung oder Auskunft an den Auftragnehmer, wird der Auftragnehmer die betroffene Person an den Auftraggeber verweisen, sofern eine Zuordnung an den Auftraggeber nach Angaben der betroffenen Person möglich ist. Der Auftragnehmer leitet den Antrag der betroffenen Person unverzüglich an den Auftraggeber weiter. Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten auf Weisung.

Der Auftragnehmer haftet nicht, wenn das Ersuchen der betroffenen Person vom Auftraggeber nicht, nicht richtig oder nicht fristgerecht beantwortet wird.

§ 7 Nachweismöglichkeiten

(1) Der Auftragnehmer weist dem Auftraggeber die Einhaltung, der in diesem Vertrag niedergelegten Pflichten, mit geeigneten Mitteln nach. Zum Nachweis der Einhaltung der vereinbarten Pflichten, kann der Auftragnehmer, dem Auftraggeber insbesondere folgende Informationen zur Verfügung vorlegen:

a. Durchführung eines Selbstaudits

b. unternehmensinterne Verhaltensregeln einschließlich eines externen Nachweises über deren Einhaltung

c. Zertifikat zu Datenschutz und/oder Informationssicherheit

d. genehmigte Verhaltensregeln nach Art. 40 DSGVO

e. Zertifikate nach Art. 42 DSGVO

(2) Sollten im Einzelfall Inspektionen durch den Auftraggeber oder einen von diesem beauftragten Prüfer erforderlich sein, werden diese zu den üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs, nach Anmeldung unter Berücksichtigung einer angemessenen Vorlaufzeit durchgeführt. Der Auftragnehmer darf diese von der vorherigen Anmeldung mit angemessener Vorlaufzeit und von der Unterzeichnung einer Verschwiegenheitserklärung hinsichtlich der Daten anderer Kunden und der eingerichteten technischen und organisatorischen Maßnahmen abhängig machen. Sollte der durch den Auftraggeber beauftragte Prüfer in einem Wettbewerbsverhältnis zu dem Auftragnehmer stehen, hat der Auftragnehmer gegen diesen ein Einspruchsrecht. Für die Unterstützung bei der Durchführung einer Inspektion darf der Auftragnehmer eine Vergütung verlangen, wenn dies im Vertrag vereinbart ist. Der Aufwand einer Inspektion ist für den Auftragnehmer grundsätzlich auf einen Tag pro Kalenderjahr begrenzt.

(3) Sollte eine Datenschutzaufsichtsbehörde oder eine sonstige hoheitliche Aufsichtsbehörde des Auftraggebers eine Inspektion vornehmen, gilt grundsätzlich Absatz 2 entsprechend. Eine Unterzeichnung einer Verschwiegenheitsverpflichtung ist nicht erforderlich, wenn diese Aufsichtsbehörde einer berufsrechtlichen oder gesetzlichen Verschwiegenheit unterliegt, bei der ein Verstoß nach dem Strafgesetzbuch strafbewehrt ist.

§ 8 Unterauftragnehmer (weitere Auftragsverarbeiter)

(1) Der Auftraggeber erteilt dem Auftragnehmer hiermit eine allgemeine Genehmigung zur Beauftragung von Unterauftragnehmern im Sinne des Art. 28 Abs. 2 DS-GVO.

(2) Der Auftragnehmer informiert den Auftraggeber, wenn er eine Änderung in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter beabsichtigt.

(3) Der Auftraggeber kann gegen die Hinzuziehung eines Unterauftragnehmers innerhalb von sechs Wochen nach Zugang der Information Widerspruch einlegen. Erfolgt kein Widerspruch innerhalb der Frist, gilt die Zustimmung zur Änderung als gegeben.

(4) Im Falle eines Widerspruchs kann der Auftragnehmer nach eigener Wahl die Leistung ohne die beabsichtigte Änderung erbringen oder – sofern das nicht zumutbar ist – die von der Änderung betroffene Leistung gegenüber dem Auftraggeber innerhalb einer angemessenen Frist nach Zugang des Widerspruchs einstellen.

(5) Ein Unterauftragsverarbeitungsverhältnis liegt vor, wenn der Auftragnehmer weitere Auftragnehmer mit der ganzen oder einer Teilleistung der im Hauptvertrag zur Leistungserbringung vereinbarten Leistung beauftragt. Der Auftragnehmer wird mit diesen Dritten im erforderlichen Umfang Vereinbarungen treffen, um angemessene Datenschutz- und Informationssicherheitsmaßnahmen zu gewährleisten. Nicht hierzu gehören Nebenleistungen, die der Auftragnehmer z.B. für Telekommunikationsleistungen, Post-/Transportdienstleistungen sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software in Anspruch nimmt, sofern ein Zugriff auf personenbezogene Daten ausgeschlossen werden kann.

(6) Die vertraglich vereinbarten Leistungen bzw. die nachfolgend beschriebenen Teilleistungen werden unter Einschaltung der unter folgendem Link aufgelisteten Unternehmen durchgeführt: https://www.cobra.de/datenschutz/unterauftragnehmer/

(7) Die Liste weist für jeden weiteren Auftragsverarbeiter den Anbieter, den Sitz sowie die erbrachte Leistung aus. Als optional gekennzeichnet werden diejenigen weiteren Auftragsverarbeiter, deren Einsatz von der Auswahl des Auftraggebers nach § 4 oder von der Nutzung einzelner Module abhängt.

(8) Erteilt der Auftragnehmer Aufträge an Subunternehmer, so obliegt es dem Auftragnehmer, seine datenschutzrechtlichen Pflichten aus diesem Vertrag dem Subunternehmer zu übertragen.

(9) Zu den weiteren Auftragsverarbeitern können auch Anbieter gehören, die Module für die cobra CRM Cloud bereitstellen oder Support- und Wartungsleistungen für einzelne Funktionsbereiche erbringen. Sie werden in der Liste nach Absatz 6 ausgewiesen.

§ 9 Vergütungsregelungen

(1) Der Auftragnehmer darf dem Auftraggeber Aufwendungen in Rechnung stellen, die ihm durch seine Inanspruchnahme auf Grundlage dieses Vertrags und Erfüllung seiner Pflichten aus diesem Vertrag entstanden sind. Dies gilt nicht, wenn der Auftragnehmer aufgrund der zugrundeliegenden schuldrechtlichen Vereinbarung oder aufgrund einer Pflichtverletzung vertraglich oder gesetzlich verpflichtet ist.

(2) Der Aufwand ist in Höhe der zwischen den Vertragspartnern vereinbarten Stundensätze zu vergüten. Sind keine Stundensätze vereinbart, kann der Auftragnehmer eine angemessene Vergütung verlangen.

§ 10 Haftung und Schadensersatz

(1) Eine zwischen den Parteien im Leistungsvertrag (Hauptvertrag zur Leistungserbringung) vereinbarte Haftungsregelung gilt auch für die Auftragsverarbeitung, außer soweit ausdrücklich etwas anderes vereinbart wurde.

(2) Soweit keine Haftungsregelung vereinbart wurde, haften Auftraggeber und Auftragnehmer gegenüber betroffenen Personen entsprechend der in Art. 82 DSGVO getroffenen Regelung.

§ 11 Schlussbestimmungen

(1) Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber als „Verantwortlicher“ im Sinne der Datenschutz-Grundverordnung liegen.

(2) Alle Änderungen, Ergänzungen und Kündigungen vertraglicher Vereinbarungen bedürfen mindestens der Textform, dies gilt auch für die Aufhebung des Textformerfordernisses. Das Recht des Auftragnehmers zur Änderung dieses AVV nach § 12 bleibt hiervon unberührt.

(3) Bei etwaigen Widersprüchen gehen die Regelungen dieses AVV zum Datenschutz den Regelungen des Vertrages vor. Sollten einzelne Teile dieses AVV unwirksam sein, so berührt dies die Wirksamkeit des AVV im Übrigen nicht.

(4) Es gilt deutsches Recht.

(5) Dieser Vertrag ersetzt sämtliche zwischen den Parteien zuvor geschlossenen Vereinbarungen zur Auftragsverarbeitung im Sinne von Art. 28 DS-GVO. Mit Inkrafttreten dieses Vertrags treten solche Vereinbarungen außer Kraft.

§ 12 Änderungsklausel

(1) Der Auftragnehmer ist berechtigt, diesen AVV zu ändern oder zu ergänzen, soweit dies zur Anpassung an eine geänderte Rechtslage oder höchstrichterliche bzw. behördliche Vorgaben erforderlich ist oder die Änderung den Auftraggeber nicht unangemessen benachteiligt.

(2) Der Auftragnehmer kündigt die Änderungen mindestens sechs Wochen vor ihrem Wirksamwerden in Textform an.

(3) Widerspricht der Auftraggeber nicht innerhalb von sechs Wochen nach Zugang der Ankündigung in Textform, gelten die Änderungen als genehmigt. Auf diese Folge weist der Auftragnehmer in der Ankündigung gesondert hin.

(4) Widerspricht der Auftraggeber fristgerecht, gilt der Vertrag zu den bisherigen Bedingungen fort. Beiden Parteien steht in diesem Fall das Recht zur ordentlichen Kündigung zu.

Anlage 1: Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gem. Art. 32 Abs. 1 DS-GVO der cobra GmbH

Der Auftragnehmer hat unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen die im Folgenden aufgeführten geeigneten technischen und organisatorischen Maßnahmen umgesetzt, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß der geltenden DS-GVO erfolgt. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert.

Diese Maßnahmen betreffen die Organisation und die IT-Systeme der cobra GmbH, insbesondere Support, Fernwartung, Consulting und die administrative Bearbeitung von Kundendaten. Der Betrieb der cobra CRM Cloud sowie der CRM Classic Premium Cloud erfolgt in Rechenzentren eines beauftragten Hosting-Dienstleisters.

I. Vertraulichkeit (Art. 32 Abs. 1 b) DS-GVO)

1. Zutrittskontrolle

Die Verhinderung des Zutritts nicht berechtigter Personen in das Gebäude sowie einzelner abgesicherter Bereiche innerhalb des Gebäudes wird durch folgende Maßnahmen gewährleistet:

Dokumentation von Zutrittsrechten, insbesondere zu Serverräumen
Etabliertes Verfahren für die Vergabe und den Entzug von Zutrittsrechten
Videoüberwachung
Sicherung der Türen mit digitalen Schließzylindern
Alarmanlage mit Videoerkennung
Fensterloser, innenliegender Serverraum im 5. Obergeschoss
Empfang während der Geschäftszeiten stets besetzt
Besucher werden persönlich am Empfang abgeholt
Kein Zutritt für Unbefugte zu den Datenverarbeitungsanlagen des Rechenzentrums
Digitale Schließanlage mit Dongle am Serverraum, Zutritt nur für Geschäftsführung und IT
Schlüsselausgabekonzept
Kameraüberwachung (Bewegungserkennung) der Eingangsbereiche während der Nicht-Bürozeiten
Sorgfältige Auswahl von Reinigungspersonal

2. Zugangskontrolle

Ein ausreichender Schutz der IT-Systeme vor unbefugtem Zugang wird gewährleistet durch:

Passwortrichtlinie
Multi-Faktor-Authentifizierung
Sperren von Benutzeraccounts nach zu vielen fehlgeschlagenen Anmeldeversuchen
Protokollierung von Anmeldungen an IT-Systemen
Netzwerksegmentierung
Firewalls mit Whitelisting-Ansatz
Verwendung von Anti-Malware- und Endpoint-Security-Lösungen
Festplattenverschlüsselung bei Clients
Sperren von USB-Schnittstellen bei Clients
Schutz des E-Mail-Verkehrs vor Viren und Spam
Redundante Firewallsysteme
Automatisierte Einspielung von Sicherheits-Patches
Planbasierter Einsatz von Sicherheits-Patches beim Server
Zentrales Rechtemanagement für Arbeitsplatz-PCs
Regelung und Kontrolle von externer Wartung und Fernwartung
Getrennte Administration der Firewall und Serversysteme durch unterschiedliche Personen/Teams

3. Zugriffskontrolle

Systeme, die von unterschiedlichen Benutzern verwendet werden, werden durch Zugriffskontrollen abgesichert. Dabei handelt es sich um einen allgemeinen Zugriffsschutz rund um Server und Netzwerk:

Umsetzung eines Berechtigungskonzepts nach den Least-Privilege- und Need-to-Know-Prinzipien
Dokumentierte Vergabe und Entzug von Berechtigungen
Separate Administrations- und Benutzerkonten für Mitarbeitende mit Administrationsrechten
Zentrale Verwaltung und Freigabe von externen Datenträgern
Verschlüsselung besonders sensibler Daten
Vernichtung von Dokumenten mit Aktenvernichtern
Zugriff auf Systeme nur mit individuellen Benutzernamen und Kennwörtern
Rollenbasiertes Berechtigungskonzept
Freigabe der Berechtigungen nach dem Mehr-Augen-Prinzip
Rollenbasierte Administrationsrechte
Personenbezogene gespeicherte Daten können nur im Rahmen des Berechtigungskonzepts gelesen, kopiert, verändert oder entfernt werden
Protokollierung von Zugriffen
Sicherstellung einer hohen Widerstandsfähigkeit der DV-Systeme bei starkem Zugriff bzw. starker Belastung, etwa durch Angriffe von außen, u.a. durch den Einsatz einer entsprechenden XDR-Lösung
Regelmäßige Pentests
Verwendung ausgetesteter Software
Hohe Passwortsicherheit, regelmäßiger Wechsel
Verschlüsselung von Passwörtern
Zwei-Faktor-Authentifizierung bei Microsoft 365
Externer Zugriff nur über gesicherte VPN-Verbindung (MFA-geschützt)
Automatische Bildschirmsperre bei Nichtbenutzung
Zugriffsschutz auf Basis SQL-Server und Active Directory
Wöchentlicher Security Scan auf unsere externen Systeme
Sichere Löschung von Datenträgern durch mehrfaches Überschreiben

4. Trennungskontrolle

Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden:

Trennung von Produktiv- und Testsystemen
Speicherung von zu unterschiedlichen Zwecken erhobenen Daten auf unterschiedlichen Systemen
Logische Mandantentrennung
Nutzung eines Datenspeicherungs- und Ablagekonzepts
Logische Trennung der Umgebungen verschiedener Auftraggeber in der cobra CRM Cloud
Konzept zum Umgang mit produktiven Datenbeständen in Entwicklungs- und Testumgebungen
Berechtigungskonzept / Datentrennung nach Abteilung bzw. Funktion

II. Integrität (Art. 32 Abs. 1 b) DS-GVO)

1. Weitergabekontrolle

Diese Maßnahmen dienen dem Schutz vor unberechtigten Zugriffen auf Dateien via Internet und E-Mail:

Zugriff auf Webdienste über einen Reverse Proxy
Verwendung von VPN-Verbindungen beim mobilen Arbeiten
Verschlüsseln sensibler Mail-Anhänge
Absicherung der Schnittstellen und der Verbindungen zu den Systemen des Auftraggebers
Verschlüsselung personenbezogener Daten bei Übertragung und Speicherung
Übermittlung an KI-Anbieter ausschließlich auf Grundlage vertraglicher Bindung und ohne Nutzung der Daten zum Modelltraining
VPN-Verbindungen mit Zwei-Faktor-Authentifizierung
Überprüfung der Empfänger von Dateien vor Versand
Sicherer physischer Transport (alle Medien, die zum Transport freigegeben sind, werden verschlüsselt, z. B. Verschlüsselung von USB-Sticks per Bitlocker)
Allgemeine Verschlüsselung von Speichermedien per Bitlocker
Protokollierung der Weitergabe von Speichermedien (Herausgabe von Speichermedium muss per IT-Support-Ticket beantragt werden inkl. Protokollierung)

2. Eingabekontrolle

Maßnahmen, mit denen nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind:

Protokollierung von Anmeldungen an IT-Systemen
Zentrale Ablage von Protokolldaten
Zentrale Auswertung von Protokolldaten
Nutzung digitaler Signaturen zur Integritätssicherung wichtiger Daten

III. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 b) DS-GVO)

1. Verfügbarkeitskontrolle

Zur Sicherung geschäftskritischer Daten wird ein umfassendes Sicherheitskonzept eingesetzt, welches vor zufälliger oder mutwilliger Zerstörung schützt:

Schutz vor Festplattenausfällen durch Speicherung auf RAID-System
Redundanter Aufbau von Servern
Nutzung unterbrechungsfreier Stromversorgung (USV) für Server
Service-Level-Agreement mit Dienstleistern
Netzwerkplan
IT-Asset-Management
Interne Datensicherung der eigenen Systeme (z. B. CRM) auf Bandmedien
Sicherung der Daten der cobra CRM Cloud über getrennte Rechenzentrumsstandorte
Klimaanlage in Serverräumen
Raumtemperaturüberwachung von Serverräumen inklusive Alarmierung
Load-Balancing
Alert-Meldung bei hoher Belastung
Virtualisierung/Dynamische Zuteilung
Brandschutzvorrichtungen
Rauchmelder mit Alarm in Serverräumen
Doppelt- oder Mehrfachvorhaltung aller Komponenten bei der Datenverarbeitung (z. B. Datensicherung und Spiegelung von Hardwarekomponenten)
Redundante Stromzuführungen
Überwachungs- und Meldesysteme
Regelmäßige Durchführung von Reviews durch externe Dienstleister zur Verbesserung der Systeme (auch bezüglich externer Verbindungen)
Anpassung der Systeme nach Durchführung von Reviews

2. Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 c) DS-GVO)

Um Datenverlust zu vermeiden ist eine umfangreiche Datensicherungsstrategie entwickelt worden:

Tägliche Sicherung der Daten entsprechend Backup-Konzept
Regelmäßige Datensicherung auf verschiedene Speichermedien
Physische Trennung von Backup-Kopien
Erstellen von Backups auf unterschiedliche Medien
Anwendung eines Recovery-Konzepts
Regelmäßige Tests der Recovery
Zugriffsschutz für Datensicherungen durch sichere Aufbewahrung im Banktresor
Schutz der Datensicherungen z. B. durch Verschlüsselungsverfahren

IV. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 d) DS-GVO; Art. 25 Abs. 1 DS-GVO)

1. Auftragskontrolle

Gewährleistung, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden:

Sorgfältige Auswahl von Auftragnehmern
Vertragsgestaltung mit Auftragsverarbeitern
Für die Rechenzentrumsinfrastruktur gelten ergänzend die Maßnahmen und Zertifizierungen der eingesetzten Hosting-Dienstleister
Verbindliche Zuordnung der von Modulanbietern bereitgestellten Funktionen zu den Verarbeitungsoptionen nach § 4
Formalisiertes Auftragsmanagement
Sicherstellung der Vernichtung / Rückgabe / Löschung von Daten nach Beendigung des Auftrags
Vorherige Prüfung der beim Auftragnehmer getroffenen Sicherheitsmaßnahmen und entsprechender Dokumentation
Verpflichtung der Mitarbeiter des Auftragnehmers auf das Datengeheimnis

2. Datenschutzmanagement

Gewährleisten, dass Datenschutz in der Organisation angemessene Beachtung findet:

Berufung eines Datenschutzbeauftragten
Schulung der Mitarbeitenden zu Datenschutz und Informationssicherheit
Verpflichtung der Mitarbeitenden auf das Datengeheimnis
Vertragspartner mit Zutritt zum Serverraum werden auf die Vertraulichkeit verpflichtet
Regelungen zur Beschaffung von Hard- und Software
Regelmäßige Prüfung, ob / in welchem Umfang Zugangsrechte noch erforderlich sind
Datenschutzrichtlinien (Datenschutzverletzungen, Betroffenenanfragen)
Freiwillige jährliche IT-Sicherheitsaudits

3. Incident-Response-Management

Gewährleisten, dass Sicherheitsvorfälle frühzeitig erkannt werden und hierauf unmittelbar reagiert werden kann, damit schwerwiegende Folgen möglichst begrenzt werden:

Verwendung von Intrusion-Detection-Systemen
Definierte Abläufe beim Eintreten von Sicherheitsvorfällen
Schulung des Personals zum Umgang mit Sicherheitsvorfällen
Fähigkeit zur netzwerktechnischen Isolation von Systemen
Einsatz einer XDR-Lösung
Notfallplan
Dokumentation von Vorfällen

4. Datenschutzfreundliche Voreinstellungen

Sicherstellen, dass Anwendungen und Systeme datenschutzfreundlich gestaltet sind:

Datenschutzfreundliches Design eigener Anwendungen
Datenschutzfreundliche Konfiguration verwendeter Anwendungen
Datenschutzfreundliche Voreinstellung der wählbaren Verarbeitungsoptionen für KI-Funktionen
Wirksamkeit der Berechtigungsprüfung auch bei KI-gestützten Abfragen sowie Maßnahmen gegen unberechtigte Abfragen und Prompt Injection
Festlegung von Löschfristen

Hinweis: Ergänzende TOM-Beschreibungen von Unterauftragsverarbeitern (z.B. Hoster/Rechenzentrumsbetreiber) können auf Anfrage bereitgestellt werden.