Auftragsverarbeitungsvertrag (AVV)

Datum des Inkrafttretens: 26. August 2026
Letzte Aktualisierung: 26. August 2026

1. Zweck dieser Vereinbarung

Dieser Auftragsverarbeitungsvertrag, im Folgenden als “AVV” bezeichnet, regelt die Verarbeitung personenbezogener Daten durch die 3D CGI Studio S.L. im Auftrag eines Kunden im Zusammenhang mit Softwareentwicklung, SaaS, Website-Entwicklung, Hosting, Wartung, Support oder anderen vertraglich vereinbarten Dienstleistungen.

Dieser AVV gilt, wenn:

Der Kunde bestimmt die Zwecke und Mittel der Verarbeitung personenbezogener Daten;
Die 3D CGI Studio S.L. verarbeitet diese personenbezogenen Daten im Auftrag des Kunden;
Die Datenschutz-Grundverordnung oder ein anderes anwendbares Datenschutzgesetz verweist auf einen Vertrag zur Auftragsverarbeitung.

Diese DV-Vereinbarung ist Bestandteil des geltenden Angebots, der Leistungsbeschreibung, der Dienstleistungsvereinbarung, der Auftragsbestätigung oder einer anderen Vereinbarung zwischen den Parteien, die als “Dienstleistungsvereinbarung” bezeichnet wird.”

2. Parteien

2.1 Controller

Der “Verantwortliche” ist der im jeweiligen Servicevertrag genannte Kunde.

Der Verantwortliche bestimmt die Zwecke und Mittel der Verarbeitung der unter diesen AVV fallenden personenbezogenen Daten.

2.2 Prozessor

Der “Prozessor” ist:

3D CGI Studio S.L.
Ctra. de Churra 55
30007 Murcia
Spanien

USt-IdNr. B25996109
E-Mail: in**@*********io.com
Telefon: +34 622 578 968

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen nur im für die Erbringung der vertraglich vereinbarten Leistungen erforderlichen Umfang.

3. Definitionen

Für die Zwecke dieses AVV:

Anwendbares Datenschutzrecht bedeutet die Datenschutz-Grundverordnung, das spanische Organgesetz 3/2018 über den Schutz personenbezogener Daten und die Gewährleistung digitaler Rechte sowie alle anderen für die Verarbeitung geltenden Datenschutzgesetze.
Controller bedeutet die Stelle, die über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
Prozessor bedeutet die Partei, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
Betroffene Person bezeichnet eine identifizierte oder identifizierbare natürliche Person, deren personenbezogene Daten verarbeitet werden.
Personenbezogene Daten bedeutet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.
Verarbeitung einschließlich des Erhebens, des Zugreifens, des Aufzeichnens, des Organisierens, des Speicherns, des Veränderns, des Abrufens, des Abfragens, des Verwendens, des Übermittelns, des Einschränkens, des Löschens oder der sonstigen Verarbeitung personenbezogener Daten.
Verletzung des Schutzes personenbezogener Daten bedeutet eine Verletzung der Sicherheit, die, ob unabsichtlich oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugriff auf personenbezogene Daten führt.
Unterauftragnehmer bedeutet einen weiteren Auftragsverarbeiter, der vom Auftragsverarbeiter beauftragt wird, personenbezogene Daten im Auftrag des Verantwortlichen zu verarbeiten.
Besondere Kategorien personenbezogener Daten bedeutet personenbezogene Daten, die unter Artikel 9 der DSGVO fallen, einschließlich bestimmter Gesundheits-, biometrischer, genetischer, politischer, religiöser oder gewerkschaftlicher Informationen oder Angaben zum Sexualleben.
Dienstleistungen bedeutet die im anwendbaren Servicevertrag beschriebenen Leistungen.

In diesem AVV nicht definierte Begriffe haben die Bedeutung, die ihnen im Anwendbaren Datenschutzrecht zugewiesen wird.

4. Geltungsbereich und Dauer

Gegenstand, Dauer, Art und Zweck der Verarbeitung sind zusammen mit den Kategorien personenbezogener Daten und betroffener Personen beschrieben in:

Die Servicevereinbarung;
Anlage 1 zu diesem AVV;
Die dokumentierten Anweisungen des Verantwortlichen.

Dieser AVV bleibt so lange in Kraft, wie der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Die Verarbeitung wird beendet, wenn:

Die Dienstleistungen mit personenbezogenen Daten wurden beendet;
Der Servicevertrag wurde gekündigt.;
Alle personenbezogenen Daten wurden wie in dieser AVV vorgeschrieben zurückgegeben oder gelöscht;
Das geltende Recht erfordert eine weitere Aufbewahrung.

5. Pflichten des Verantwortlichen

Der Verantwortliche bestätigt, dass:

Es verfügt über eine gültige Rechtsgrundlage für die Verarbeitung;
Personenbezogene Daten wurden rechtmäßig erhoben und offengelegt;
Die betroffenen Personen haben alle erforderlichen Datenschutzinformationen erhalten;
Seine Anweisungen entsprechen dem geltenden Datenschutzrecht;
Die Verarbeitung ist erforderlich und verhältnismäßig;
Es wird den Auftragsverarbeiter nicht anweisen, personenbezogene Daten unrechtmäßig zu verarbeiten;
Es wird keine unnötigen personenbezogenen Daten bereitstellen;
Es identifiziert alle besonderen Sicherheits- oder regulatorischen Anforderungen, bevor die Verarbeitung beginnt;
Es wird auf Fragen bezüglich der Rechtmäßigkeit seiner Anweisungen antworten;
Sie bleibt für die Entscheidungen über die Zwecke und Mittel der Verarbeitung verantwortlich.

Der Verantwortliche ist für die Richtigkeit, Qualität und Rechtmäßigkeit der personenbezogenen Daten sowie für die Feststellung verantwortlich, ob die Dienste für die beabsichtigte Verarbeitung geeignet sind.

6. Verarbeitungsanweisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich:

Nach dokumentierten Anweisungen des Verantwortlichen;
Zur Erfüllung des Servicevertrags;
Wie in diesem AVV beschrieben;
Wie gesetzlich vorgeschrieben.

Der Servicevertrag, dieser AVV, schriftliche Projektanweisungen, Support-Anfragen und vom Verantwortlichen getroffene Konfigurationsentscheidungen stellen dokumentierte Weisungen dar.

Wenn der Auftragsverarbeiter der Ansicht ist, dass eine Weisung gegen das anwendbare Datenschutzrecht verstößt, wird er den Verantwortlichen unverzüglich informieren und kann die betroffene Verarbeitung aussetzen, bis die Weisung geklärt, geändert oder zurückgezogen wird.

Wenn der Auftragsverarbeiter gesetzlich verpflichtet ist, personenbezogene Daten über die Weisungen des Verantwortlichen hinaus zu verarbeiten, teilt der Auftragsverarbeiter dies dem Verantwortlichen vor der Verarbeitung mit, es sei denn, das anwendbare Recht verbietet eine solche Mitteilung.

Der Prozessor wird nicht:

Personenbezogene Daten verkaufen;
Personenbezogene Daten für nicht zusammenhängende Marketingzwecke verwenden;
Ermittlung neuer unabhängiger Zwecke für Kundendaten;
Personenbezogene Daten offenlegen, es sei denn, dies ist durch diesen AVV, den Verantwortlichen oder anwendbares Recht autorisiert.

7. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung personenbezogener Daten befugten Personen:

unterliegen entsprechenden Vertraulichkeitsverpflichtungen;
Zugang nur dort erhalten, wo dies für ihre Arbeit erforderlich ist;
über relevante Datenschutz- und Sicherheitspflichten informiert werden;
Verarbeiten Sie personenbezogene Daten nur gemäß autorisierten Anweisungen.

Die Geheimhaltungsverpflichtungen gelten nach Beendigung des Zugangs oder der Tätigkeit der betreffenden Person fort.

8. Sicherheitsmaßnahmen

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art und des Umfangs der Verarbeitung sowie der Risiken für die betroffenen Personen ergreift der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten.

Die anwendbaren Maßnahmen sind in Anlage 2 beschrieben und können umfassen:

Zugangskontrollen;
Rollenbasierte Berechtigungen;
Passwort- und Authentifizierungsmaßnahmen;
Verschlüsselung bei der Übertragung;
Verschlüsselung im Ruhezustand, sofern angemessen;
Sichere Softwareentwicklungspraktiken;
System- und Software-Updates;
Malware- und Bedrohungsschutz;
Backup- und Wiederherstellungsprozesse;
Protokollierung und Überwachung;
Geheimhaltungspflichten;
Vorfallmanagementverfahren;
Beschränkungen für den Zugriff auf Produktionsdaten;
Sicheres Löschen;
Lieferanten- und Unterauftragsverarbeiter-Kontrollen.

Der Verantwortliche erkennt an, dass sich die Sicherheitsmaßnahmen im Laufe der Zeit weiterentwickeln können. Der Auftragsverarbeiter darf die Maßnahmen aktualisieren, sofern das Gesamtniveau des Schutzes nicht wesentlich verringert wird.

9. Zugriff auf personenbezogene Daten

Der Auftragsverarbeiter beschränkt den Zugriff auf personenbezogene Daten auf Personen, die einen begründeten Bedarf an einem Zugriff zur Erbringung der Dienste haben.

Wo praktisch, sollten Entwicklung und Tests Folgendes verwenden:

Anonymisierte Daten;
Pseudonymisierte Daten;
Synthetische Testdaten;
Begrenzte Datensätze.

Der Verantwortliche sollte keine Live-Produktionsdaten bereitstellen, wenn repräsentative Testdaten ausreichen.

Zugangsdaten müssen über einen vereinbarten sicheren Kanal übertragen werden. Jede Partei ist dafür verantwortlich, die ihrer Kontrolle unterliegenden Zugangsdaten zu schützen.

10. Besondere Kategorien und hochsensible Daten

Der Verantwortliche darf keine besonderen Kategorien personenbezogener Daten, Daten über strafrechtliche Verurteilungen, Zahlungskartendaten, behördliche Ausweisdokumente oder ähnlich sensible Informationen bereitstellen, es sei denn:

Die Verarbeitung ist ausdrücklich im Servicevertrag oder in Anlage 1 beschrieben;
Der Auftragsverarbeiter hat der Verarbeitung schriftlich zugestimmt;
Es liegen angemessene Rechtsgrundlagen und Schutzmaßnahmen vor;
Weitere Sicherheitsanforderungen wurden vereinbart.

Wenn der Auftragsverarbeiter solche Informationen unerwartet erhält, kann er die Informationen isolieren, zurückgeben oder sicher löschen und weitere Anweisungen anfordern.

11. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern, sofern dies zur Erbringung der Dienste vernünftigerweise erforderlich ist.

Der Prozessor wird:

Verwenden Sie Unterauftragsverarbeiter, die ausreichende Datenschutz- und Sicherheitsgarantien bieten;
Schließen Sie eine schriftliche Vereinbarung ab, die im Wesentlichen gleichwertige Datenschutzverpflichtungen auferlegt;
Beschränken Sie den Zugriff des Unterauftragsverarbeiters auf das Notwendige;
Bleiben Sie für die Erfüllung der Datenschutzpflichten des Unterauftragsverarbeiters gemäß dem anwendbaren Recht verantwortlich;
Führen Sie eine aktuelle Liste der relevanten Subunternehmer;
Informieren Sie den Verantwortlichen bei Bedarf über beabsichtigte Ergänzungen oder Ersetzungen.

Relevante Subunternehmer können Anbieter sein von:

Hosting und Cloud-Infrastruktur;
Datenspeicherung und Backups;
E-Mail und Kommunikation;
Projektmanagement und Zusammenarbeit;
Dateiübertragung;
Überwachung und Sicherheit;
Technischer Support;
Softwareentwicklung;
Content-Delivery-Dienste.

Die anfänglichen Unterauftragsverarbeiter sind in Anlage 3, im Servicevertrag oder in einer separaten, dem Verantwortlichen zur Verfügung gestellten Liste der Unterauftragsverarbeiter aufgeführt.

Der Auftragsverarbeiter wird eine angemessene Vorankündigung über einen neuen Unterauftragsverarbeiter übermitteln, sofern die Änderung die Verarbeitung wesentlich beeinflusst.

Der Verantwortliche kann aus begründeten datenschutzrechtlichen Gründen Widerspruch erheben. Die Parteien werden nach Treu und Glauben zusammenarbeiten, um den Widerspruch beizulegen. Wenn keine zumutbare Alternative verfügbar ist, kann jede Partei den betroffenen Teil der Dienste gemäß der Vereinbarung über die Dienste kündigen.

12. Internationale Überweisungen

Der Auftragsverarbeiter wird keine personenbezogenen Daten außerhalb des Europäischen Wirtschaftsraums übermitteln oder den Zugriff von außerhalb des Europäischen Wirtschaftsraums ermöglichen, es sei denn, es liegt ein anwendbarer, rechtmäßiger Übertragungsmechanismus vor.

Solche Mechanismen können Folgendes umfassen:

Ein von der Europäischen Kommission erlassener Angemessenheitsbeschluss;
Das EU-US-Datenschutzrahmenwerk, bei dem der Empfänger gültig zertifiziert ist;
Von der Europäischen Kommission genehmigte Standardvertragsklauseln;
Verbindliche unternehmensinterne Datenschutzvorschriften;
Eine andere gesetzlich zulässige Schutzmaßnahme oder Ausnahme.

Wo die Standardvertragsklauseln erforderlich sind, vereinbaren die Parteien, die anwendbaren Module in diesen AVV einzubeziehen.

Wenn 3D CGI Studio S.L. als Auftragsverarbeiter und ein Empfänger außerhalb des EWR als Unterauftragsverarbeiter tätig wird, wird je nach Sachlage das Modul für die Beziehung zwischen Verantwortlichem und Auftragsverarbeiter oder zwischen Auftragsverarbeitern ausgewählt.

Der Auftragsverarbeiter wird nach einer Folgenabschätzung der Übermittlung zusätzliche Schutzmaßnahmen implementieren, sofern dies angemessen erforderlich ist.

Der Verantwortliche autorisiert Übermittlungen, die im anwendbaren Servicevertrag, in Anlage 3 oder in der Unterauftragsverarbeiterliste beschrieben sind, vorbehaltlich der erforderlichen rechtlichen Garantien.

13. Anfragen betroffener Personen

Wenn der Auftragsverarbeiter eine Anfrage einer betroffenen Person bezüglich personenbezogener Daten erhält, die im Auftrag des Verantwortlichen verarbeitet werden, wird der Auftragsverarbeiter:

Benachrichtigen Sie den Verantwortlichen unverzüglich;
Nicht in der Sache antworten, es sei denn, dies ist vom Verantwortlichen autorisiert oder gesetzlich vorgeschrieben;
Leisten Sie angemessene Unterstützung, sofern dies technisch und operativ möglich ist.

Anfragen können Zugang, Berichtigung, Löschung, Einschränkung, Übertragbarkeit oder Widerspruch umfassen.

Der Verantwortliche bleibt verantwortlich für:

Überprüfung der Identität der betroffenen Person;
Ermittlung, ob die Anfrage gültig ist;
Einhaltung der geltenden gesetzlichen Frist;
Bereitstellung der rechtlichen Antwort.

Wenn die Unterstützung einen erheblichen Arbeitsaufwand erfordert, der über die normalen Dienstleistungen hinausgeht, können angemessene Gebühren erhoben werden, sofern dies gesetzlich zulässig und mit dem Verantwortlichen vereinbart ist.

14. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem er Kenntnis von einer bestätigten Verletzung des Schutzes personenbezogener Daten erlangt hat, die personenbezogene Daten betrifft, die im Rahmen dieses AVV verarbeitet werden.

Sofern Informationen vorliegen, enthält die Benachrichtigung:

Eine Beschreibung der Art der Verletzung;
Die Kategorien der betroffenen personenbezogenen Daten;
Die Kategorien und die ungefähre Anzahl der betroffenen betroffenen Personen;
Die wahrscheinlichsten Folgen;
Getroffene oder vorgeschlagene Maßnahmen;
Kontaktinformationen für Rückfragen;
Vom Verantwortlichen vernünftigerweise benötigte Informationen.

Informationen können in Phasen bereitgestellt werden, wenn vollständige Details nicht sofort verfügbar sind.

Der Auftragsverarbeiter wird angemessene Schritte unternehmen, um:

Den Durchbruch eindämmen;
Untersuchen Sie die Ursache.;
Vorhersehbare Schäden in angemessener Weise mindern;
Einen Rückschlag verhindern;
Bewahren Sie relevante Beweismittel auf.

Der Verantwortliche ist dafür verantwortlich zu bestimmen, ob eine Benachrichtigung einer Aufsichtsbehörde oder betroffener Personen erforderlich ist.

Eine Benachrichtigung über eine Verletzung des Schutzes personenbezogener Daten durch den Auftragsverarbeiter stellt kein Schuldeingeständnis oder eine Haftungsübernahme dar.

15. Datenschutz-Folgenabschätzungen

Der Auftragsverarbeiter gewährt dem Verantwortlichen angemessene Unterstützung, sofern dieser verpflichtet ist, Folgendes durchzuführen:

Eine Datenschutz-Folgenabschätzung;
Eine Risikobeurteilung;
Vorherige Konsultation einer Aufsichtsbehörde.

Die Unterstützung ist auf die dem Auftragsverarbeiter in Bezug auf die Dienste und dessen Verarbeitungstätigkeiten zur Verfügung stehenden Informationen beschränkt.

Umfangreiche Leistungen außerhalb der vereinbarten Services können mit angemessenen zusätzlichen Gebühren berechnet werden.

16. Aufzeichnungen und regulatorische Zusammenarbeit

Der Auftragsverarbeiter führt die nach geltendem Recht erforderlichen Aufzeichnungen über die im Namen von Verantwortlichen vorgenommenen Verarbeitungstätigkeiten.

Der Auftragsverarbeiter wird im Hinblick auf die von diesem AVV erfasste Verarbeitung angemessen mit dem Verantwortlichen und den zuständigen Aufsichtsbehörden zusammenarbeiten.

Jede Partei ist für ihre eigenen regulatorischen Verpflichtungen verantwortlich.

17. Prüfungs- und Compliance-Informationen

Der Auftragsverarbeiter stellt Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung von Artikel 28 der DSGVO nachzuweisen.

Der Verantwortliche kann eine angemessene Prüfung verlangen, wenn:

Von einer zuständigen Behörde verlangt;
Ein schwerwiegender Sicherheitsvorfall hat die personenbezogenen Daten des Verantwortlichen betroffen;
Hinreichende Beweise deuten auf eine wesentliche Nichteinhaltung hin;
Das geltende Recht erfordert eine Prüfung.

Bevor der Controller ein Audit vor Ort anfordert, sollte er zunächst die verfügbare Dokumentation, Zertifizierungen, Fragebögen und Fernnachweise prüfen.

Audits müssen:

Während der normalen Geschäftszeiten durchgeführt werden;
Mit angemessener Frist im Voraus vereinbart werden;
Vermeiden Sie unangemessene Störungen;
Schützen Sie die Daten anderer Kunden;
Von qualifizierten, der Geheimhaltung unterliegenden Personen durchgeführt werden;
Beschränken Sie sich auf Systeme und Informationen, die für den Verantwortlichen relevant sind.

Der Verantwortliche trägt seine Prüfkosten. Ergibt eine Prüfung einen wesentlichen Verstoß des Auftragsverarbeiters, trägt der Auftragsverarbeiter die angemessenen Kosten für die Behebung, die diesem Verstoß zuzurechnen sind.

18. Rückgabe und Löschung personenbezogener Daten

Nach Abschluss der Dienstleistungen im Zusammenhang mit personenbezogenen Daten wird der Auftragsverarbeiter nach Wahl des Verantwortlichen und vorbehaltlich der technischen Machbarkeit:

Geben Sie die relevanten personenbezogenen Daten zurück;
Stellen Sie die Daten für den Export bereit;
Löschen Sie die personenbezogenen Daten sicher.

Der Auftragsverarbeiter kann personenbezogene Daten speichern, sofern dies nach geltendem Recht erforderlich ist. Gespeicherte Informationen bleiben geschützt und werden nicht für andere Zwecke verarbeitet.

Personenbezogene Daten können vorübergehend in routinemäßigen Datensicherungssystemen verbleiben, bis sie gemäß dem Backup-Aufbewahrungszyklus des Auftragsverarbeiters überschrieben werden. Während dieses Zeitraums bleiben die Daten geschützt und von der normalen Geschäftsnutzung isoliert.

Der Verantwortliche muss jeden erforderlichen Export vor dem Ende des Servicevertrags oder innerhalb der vereinbarten Nachlaufzeit anfordern.

19. Benachrichtigung und Kontakt

Datenschutzrechtliche Mitteilungen im Zusammenhang mit diesem AVV sind zu richten an:

3D CGI Studio S.L.
Ctra. de Churra 55
30007 Murcia
Spanien

E-Mail: in**@*********io.com
Telefon: +34 622 578 968

Der Datenschutzansprechpartner des Verantwortlichen ist der im Servicevertrag oder in Anlage 1 genannte Ansprechpartner.

Jede Partei muss die andere Partei benachrichtigen, wenn sich ihre relevanten Kontaktdaten ändern.

20. Haftung

Die Haftung aus diesem AVV unterliegt den Beschränkungen und Ausschlüssen im Servicevertrag, es sei denn, solche Beschränkungen sind durch anwendbares Datenschutzrecht untersagt.

Nichts in diesem AVV schränkt ein:

Gesetzliche Rechte der betroffenen Personen;
Die Befugnisse einer Aufsichtsbehörde;
Eine Haftung, die gesetzlich nicht beschränkt werden kann;
Die Verantwortung jeder Partei für ihre eigene Verletzung des anwendbaren Datenschutzrechts.

Jede Partei haftet im Rahmen des anwendbaren Rechts für Schäden, die durch ihre Verarbeitung verursacht werden.

21. Priorität und Konflikt

Bei Streitigkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten gilt folgende Rangfolge:

Anwendbares Datenschutzrecht;
Anwendbare Standardvertragsklauseln;
Dieser AVV;
Die Servicevereinbarung;
Andere Projektdokumente.

Mit Ausnahme der in diesem AVV geregelten Datenschutzbestimmungen bleibt die Servicevereinbarung unverändert.

22. Anwendbares Recht und Gerichtsstand

Sofern in der Leistungsvereinbarung nichts anderes bestimmt ist, unterliegt dieser AVV spanischem Recht.

Für B2B-Verträge sind die Gerichte von Murcia, Spanien, zuständig, vorbehaltlich zwingender Gerichtsstandsvorschriften des anwendbaren Datenschutzrechts oder anwendbarer Standardvertragsklauseln.

23. Änderungen

Der Prozessor kann diesen Standard-AVV aktualisieren, soweit dies aus vernünftigen Gründen erforderlich ist, um:

Änderungen des geltenden Rechts einhalten;
Neue regulatorische Klauseln übernehmen;
Änderungen an den Diensten widerspiegeln;
Datenschutzbestimmungen verbessern.

Ein Update wird den Schutz personenbezogener Daten nicht wesentlich verringern.

Änderungen des Materials, die sich auf eine aktive Servicevereinbarung auswirken, werden dem Verantwortlichen mitgeteilt. Projektspezifische Änderungen bedürfen, sofern rechtlich erforderlich, einer schriftlichen Vereinbarung.

24. Annahme

Dieser AVV wird verbindlich, wenn:

Es ist von beiden Parteien unterzeichnet;
Die Servicevereinbarung nimmt ausdrücklich darauf Bezug;
Der Verantwortliche nimmt ein Angebot oder eine Bestellung an, die auf ihn verweist;
Die Parteien vereinbaren andernfalls elektronisch oder schriftlich.

Elektronische Annahme und elektronische Signaturen sind zulässig.

Anhang 1: Einzelheiten zur Verarbeitung

Dieser Anhang muss im Servicevertrag, in der Leistungsbeschreibung oder in der Projektdokumentation ausgefüllt werden.

1. Controller

Gesetzlicher Name: Wird im Servicevertrag festgelegt
Eingetragene Adresse: Wird im Servicevertrag festgelegt
Ansprechpartner: Wird im Servicevertrag festgelegt
Datenschutzbeauftragter: Wird im Servicevertrag festgelegt

2. Prozessor

3D CGI Studio S.L.
Ctra. de Churra 55
30007 Murcia
Spanien

E-Mail: in**@*********io.com

3. Gegenstand

Die Verarbeitung personenbezogener Daten, die zur Erbringung der im Servicevertrag beschriebenen Softwareentwicklungs-, SaaS-, Website-Entwicklungs-, Hosting-, Wartungs-, Support-, Migrations-, Integrations- oder sonstigen Dienstleistungen erforderlich ist.

4. Dauer

Für die Dauer der Servicevereinbarung und jedes vereinbarten Übergangs-, Unterstützungs-, Backup- oder Löschungszeitraums.

5. Art und Zweck der Verarbeitung

Je nach den Diensten kann die Verarbeitung Folgendes umfassen:

Zugriff auf Kundensysteme;
Das Sammeln und Importieren von Daten;
Hosting und Datenspeicherung;
Organisieren und Strukturieren von Daten;
Entwicklung und Testen von Software;
Datenmigrierung;
Fehlerbehebung und Support;
Datenbanken pflegen;
Erstellen von Backups;
Daten werden übertragen;
Einschränkung, Export oder Löschung von Daten.

Nur die für das spezifische Projekt erforderliche Verarbeitung ist autorisiert.

6. Kategorien betroffener Personen

Je nach Projekt können betroffene Personen umfassen:

Controller-Mitarbeiter;
Unternehmer;
Kunden und Interessenten;
Mitglieder;
Benutzer;
Lieferanten;
Geschäftskontakte;
Website-Besucher;
Portalbenutzer;
Andere Personen, deren Daten in das entsprechende System eingegeben werden.

Die anwendbaren Kategorien müssen in der Projektdokumentation bestätigt werden.

7. Kategorien personenbezogener Daten

Je nach Projekt können personenbezogene Daten Folgendes umfassen:

Namen;
Geschäftliche Kontaktdaten;
E-Mail-Adressen;
Telefonnummern;
Postanschriften;
Konto- und Benutzerkennungen;
Organisatorische Informationen;
Berufsbezeichnungen und Rollen;
Authentifizierungs- und Zugriffsprotokolle;
Kommunikation;
Hochgeladene Dokumente;
Support-Informationen;
Transaktions- und Projektaufzeichnungen;
Technische Protokolle;
IP-Adressen und Geräteinformationen;
Andere in der Projektdokumentation ausdrücklich genannte Daten.

8. Daten besonderer Kategorien

Besondere Kategorien personenbezogener Daten sind nicht zulässig, es sei denn, sie sind im Dienstleistungsvertrag oder in einer zusätzlichen schriftlichen Anweisung ausdrücklich bezeichnet und genehmigt.

9. Verarbeitungshäufigkeit

Die Verarbeitung kann je nach Projekt für die Dauer der Dienste kontinuierlich, regelmäßig oder auf Anfrage erfolgen.

10. Aufbewahrung und Löschung

Personenbezogene Daten werden für die Dauer der Dienste gespeichert und nach der Beendigung gelöscht oder zurückgegeben, vorbehaltlich:

Die Anweisungen des Verantwortlichen;
Vereinbarte Backup-Zyklen;
Technische Einschränkungen;
Gesetzliche Aufbewahrungspflichten;
Die spezifischen Aufbewahrungsbestimmungen im Servicevertrag.

Anhang 2: Technische und organisatorische Maßnahmen

Die auf ein bestimmtes Projekt angewendeten Maßnahmen spiegeln die Art der Dienstleistungen und die mit der Verarbeitung verbundenen Risiken wider.

1. Zugriffskontrolle

Maßnahmen können umfassen:

Individuelle Benutzerkonten;
Rollenbasierter Zugriff;
Berechtigungen mit minimalen Rechten;
Starke Passwortanforderungen;
Mehrfaktor-Authentifizierung, wo unterstützt und angebracht;
Regelmäßige Zugriffsüberprüfungen;
Sofortige Entfernung unnötiger Zugriffe;
Beschränkungen der Administratorrechte.

2. Vertraulichkeit

Maßnahmen können umfassen:

Vertragliche Geheimhaltungsverpflichtungen;
Vertraulichkeitsbestimmungen für Personal und Auftragnehmer;
Zutritt nur für befugte Personen;
Datenschutz- und Sicherheitsbewusstsein;
Einschränkungen beim Herunterladen oder Kopieren von Produktionsdaten.

3. Verschlüsselung und Übertragung

Maßnahmen können umfassen:

HTTPS/TLS-Verschlüsselung für Daten, die über öffentliche Netzwerke übertragen werden;
Verschlüsselte administrative Verbindungen;
Verschlüsselung im Ruhezustand, sofern angemessen und unterstützt;
Sichere Verfahren zur Anmeldedatenübertragung;
Vermeidung der unverschlüsselten Übertragung sensibler Daten.

4. Systemsicherheit

Maßnahmen können umfassen:

Sichere Konfiguration;
Unterstützte Softwareversionen;
Sicherheitsupdates und Patches;
Malwareschutz;
Firewalls und Sicherheitsvorgaben des Hosting-Anbieters;
Schwachstellenbehebung;
Trennung von Entwicklungs- und Produktionsumgebungen, wo angebracht.

5. Sichere Entwicklung

Maßnahmen können umfassen:

Zugriffsbeschränkungen auf den Quellcode;
Versionsverwaltung;
Führe gegebenenfalls ein Code-Review durch;
Eingabevalidierung;
Authentifizierungs- und Autorisierungskontrollen;
Abhängigkeitsverwaltung;
Tests vor der Produktionsbereitstellung;
Vermeidung von echten personenbezogenen Daten in der Entwicklung, wo immer möglich;
Protokollierung ohne unnötige personenbezogene Daten.

6. Verfügbarkeit und Wiederherstellung

Maßnahmen können umfassen:

Angemessene Datensicherungen;
Beschränkungen des Backup-Zugriffs;
Wiederherstellungsverfahren;
Hosting-Redundanz, sofern in den Diensten enthalten;
Notfallreaktionsverfahren;
Überwachung kritischer Systeme, sofern enthalten.

Es besteht keine Verpflichtung zur Datensicherung, zum Hosting oder zur Überwachung, es sei denn, dies ist im Servicevertrag enthalten.

7. Protokollierung und Überwachung

Maßnahmen können umfassen:

Protokollierung des Administratorzugriffs;
Anwendungs- und Sicherheitsprotokolle;
Fehlerüberwachung;
Überprüfung verdächtiger Aktivitäten;
Angemessene Aufbewahrungsfristen für Protokolldaten;
Schutz von Protokolldaten vor unbefugter Änderung.

8. Datenminimierung

Maßnahmen können umfassen:

Verarbeitung nur der notwendigen Daten;
Einschränkung von Feldern und Importen;
Verwendung von Test- oder synthetischen Daten;
Pseudonymisierung, wo dies angemessen ist;
Vermeidung unnötiger Kopien;
Begrenzung der Aufbewahrungsfristen.

9. Incident-Management

Maßnahmen können umfassen:

Interne Vorfallsmeldung;
Ermittlungsverfahren;
Eindämmung und Sanierung;
Benachrichtigungs-Eskalation;
Sicherung relevanter Beweismittel;
Korrekturmaßnahmen nach einem Vorfall.

10. Löschung und Entsorgung

Maßnahmen können umfassen:

Sichere Kontolöschung;
Datenbanklöschung oder Anonymisierung;
Kontrollierte Entfernung von Projektdateien;
Ablauf von Sicherungskopien durch normale Aufbewahrungszyklen;
Sichere Entsorgung von Speichermedien, sofern zutreffend.

11. Unterauftragsverarbeiter-Management

Maßnahmen können umfassen:

Lieferantenbewertung;
Vertragliche Datenschutzbestimmungen;
Zugangsbeschränkungen;
Überprüfung der Sicherheitsinformationen;
Vorkehrungen für internationale Datenübertragungen;
Überwachung von Materialdienständerungen.

12. Überprüfung der Maßnahmen

Technische und organisatorische Maßnahmen können überprüft und aktualisiert werden gemäß:

Änderungen des Risikos;
Technologische Veränderungen;
Änderungen der Dienste;
Sicherheitsvorfälle;
Rechtliche oder regulatorische Entwicklungen.

Anhang 3: Genehmigte Subunternehmer

Der Prozessor wird die für jedes Projekt relevanten Subprozessoren identifizieren in:

Die Servicevereinbarung;
Die anwendbare Leistungsbeschreibung;
Eine angehängte Unterauftragnehmerliste;
Eine gepflegte Online-Liste der Unterauftragnehmer, auf die im Servicevertrag verwiesen wird.

Die Liste soll enthalten:

Name des Unterauftragnehmers;
Erbringung der Dienstleistung;
Verarbeitungsstandort;
Kategorien personenbezogener Daten;
Übertragungsmechanismus, falls anwendbar.

Nur Subunternehmer, die für die anwendbaren Dienste relevant sind, sind autorisiert.