Auftragsverarbeitungsvertrag (AVV)

Version 2.1 · Gültig ab 1. Oktober 2026

Hinweis: Die englische Fassung dieses Dokuments ist die maßgebliche Fassung. Diese deutsche Fassung ist eine maschinelle Übersetzung, die ausschließlich zur besseren Verständlichkeit bereitgestellt wird.

Dieser Auftragsverarbeitungsvertrag ("AVV") ist Bestandteil der Vereinbarung zwischen der Orderlion GmbH, Himmelpfortgasse 17/7, 1010 Wien, Österreich ("Orderlion", der Auftragsverarbeiter) und dem im Bestellformular genannten Kunden ("Kunde", der Verantwortliche) über die Orderlion-Plattform (die "Vereinbarung"). Er wird in elektronischer Form geschlossen (Art 28 Abs 9 DSGVO), indem er gemäß dem Bestellformular und Ziffer 12 der AGB in die Vereinbarung einbezogen wird. Für den Gegenstand des Datenschutzes geht dieser AVV den AGB vor.

1. Rollen und Anwendungsbereich

1.1 Für die auf der Plattform im Auftrag des Kunden verarbeiteten personenbezogenen Daten (insbesondere Daten der Besteller des Kunden und ihrer Mitarbeiter, Bestelldaten, Kommunikation und über die Inbox verarbeitete E-Mail-Inhalte: zusammen "Kunden-Personendaten", beschrieben in Anlage 1) ist der Kunde Verantwortlicher und Orderlion Auftragsverarbeiter.

1.2 Dieser AVV gilt nicht, soweit Orderlion selbst Verantwortlicher ist (z. B. Kontaktdaten der Mitarbeiter des Kunden für Kontoverwaltung, Abrechnung und Support sowie pseudonymisierte Nutzungsdaten für Produktanalysen nach Ziffer 3.5); diese Verarbeitung ist in der Datenschutzerklärung von Orderlion beschrieben.

2. Beschreibung der Verarbeitung

Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anlage 1 festgelegt.

3. Weisungen

3.1 Orderlion verarbeitet Kunden-Personendaten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in Drittländer, sofern nicht eine Verarbeitungspflicht nach dem Recht der Union oder eines Mitgliedstaats besteht; in diesem Fall teilt Orderlion dem Kunden diese rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.2 Die dokumentierten Weisungen bestehen aus: diesem AVV, der Vereinbarung, der Konfiguration der Plattform durch den Kunden (einschließlich des gewählten Inbox-Verarbeitungsmodus und der EU-Hosting-Option) sowie ergänzenden Weisungen in Textform. Weisungen, die Leistungen über den Umfang der Vereinbarung hinaus erfordern, können zu den Standardsätzen von Orderlion verrechnet werden.

3.3 Orderlion informiert den Kunden unverzüglich, wenn eine Weisung nach ihrer Auffassung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, und darf die Ausführung dieser Weisung aussetzen, bis sie bestätigt oder geändert wird.

3.4 Der Kunde weist Orderlion an und ermächtigt sie, aus Kunden-Personendaten aggregierte, anonymisierte Statistiken zur Produktverbesserung zu erstellen, sofern die Ergebnisse keine personenbezogenen Daten enthalten und weder den Kunden noch dessen Nutzer oder Besteller identifizieren. Die Anonymisierung erfolgt als Teil dieser Weisung.

3.5 Produktanalysen. Orderlion verarbeitet darüber hinaus pseudonymisierte Nutzungsdaten von Plattformnutzern (eine pseudonyme Nutzerkennung zusammen mit Informationen zur Funktionsnutzung, Interaktionsereignissen und zum Gerät; keine Namen, Kontaktdaten, Bestellinhalte oder E-Mail-Inhalte) als eigenständiger Verantwortlicher, um ihre Dienste zu verbessern, abzusichern und weiterzuentwickeln, wie in ihrer Datenschutzerklärung beschrieben; Ziffer 1.2 gilt. Orderlion gibt solche Nutzungsdaten an keine Dritten außer ihren eigenen Auftragsverarbeitern weiter, nutzt sie nicht für Werbung gegenüber den Bestellern des Kunden und löscht oder anonymisiert sie spätestens 2 Jahre nach der Erhebung.

4. Vertraulichkeit

Orderlion stellt sicher, dass alle zur Verarbeitung von Kunden-Personendaten befugten Personen vertraglichen oder gesetzlichen Vertraulichkeitsverpflichtungen unterliegen, die über das Ende ihrer Tätigkeit hinaus fortbestehen.

5. Sicherheit der Verarbeitung

Orderlion setzt die in Anlage 3 dargestellten technischen und organisatorischen Maßnahmen um und erhält sie aufrecht (Art 32 DSGVO). Orderlion darf diese Maßnahmen aktualisieren, sofern das Gesamtniveau der Sicherheit nicht wesentlich verringert wird.

6. Unterauftragsverarbeiter

6.1 Der Kunde erteilt eine allgemeine schriftliche Genehmigung für den Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter. Die aktuelle Unterauftragsverarbeiterliste ist unter www.orderlion.com/subprocessors veröffentlicht und weist das Datum der letzten Aktualisierung aus.

6.2 Orderlion informiert den Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mindestens 30 Tage vor dem Einsatz per E-Mail an den vom Kunden benannten Ansprechpartner und durch Aktualisierung der veröffentlichten Liste. Die Mitteilung enthält die zur Beurteilung der Änderung erforderlichen Informationen.

6.3 Der Kunde kann innerhalb der Mitteilungsfrist aus nachvollziehbaren datenschutzrechtlichen Gründen in Textform widersprechen. In diesem Fall suchen die Parteien zunächst nach Treu und Glauben eine Lösung (einschließlich technischer Alternativen, die den neuen Unterauftragsverarbeiter für die Daten des Kunden vermeiden). Wird innerhalb von 30 Tagen nach dem Widerspruch keine Lösung gefunden, kann der Kunde die betroffenen Leistungen unter anteiliger Erstattung vorausbezahlter Entgelte für die gekündigten Leistungen kündigen; dies ist der ausschließliche Rechtsbehelf bei einem Widerspruch gegen einen Unterauftragsverarbeiter. Widerspricht der Kunde nicht innerhalb der Mitteilungsfrist, gilt die Änderung als genehmigt.

6.4 Orderlion verpflichtet jeden Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den Pflichten dieses AVV inhaltlich entsprechen, insbesondere zu hinreichenden Garantien für geeignete technische und organisatorische Maßnahmen. Auf Anfrage stellt Orderlion dem Kunden eine Kopie der einschlägigen Unterauftragsverarbeiterbedingungen zur Verfügung (geschwärzt hinsichtlich Geschäftsgeheimnissen). Orderlion haftet dem Kunden gegenüber weiterhin uneingeschränkt für die Erfüllung der Datenschutzpflichten ihrer Unterauftragsverarbeiter.

7. KI-Verarbeitung

7.1 Die Inbox-Funktion und andere KI-Funktionen verarbeiten Kunden-Personendaten unter Einsatz großer Sprachmodelle der in Anlage 2 genannten KI-Unterauftragsverarbeiter, einschließlich der jeweiligen Hosting-Region und Speicherkonfiguration des Anbieters.

7.2 Kein Training. Orderlion verwendet Kunden-Personendaten nicht, um Modelle des maschinellen Lernens zu trainieren, feinabzustimmen oder zu verbessern, die über das Konto des Kunden hinaus verfügbar sind, und stellt vertraglich sicher, dass ihre KI-Unterauftragsverarbeiter über Orderlion übermittelte Kunden-Personendaten nicht zum Training ihrer Modelle verwenden.

7.3 EU-gehostete KI-Option. Auf schriftliche Anfrage des Kunden während der Einrichtung, bestätigt durch Orderlion, erfolgt die KI-Verarbeitung für das Konto des Kunden ausschließlich auf in der EU gelegener Infrastruktur. Für diese Konten läuft die Bestellextraktion auf Anthropic-Claude-Modellen, die über AWS Bedrock in der EU (Frankfurt) bereitgestellt werden, und OpenAI wird nicht eingesetzt. Anlage 2 weist die für diese Option geltende Verarbeitungskette aus.

7.4 Speicherung beim Anbieter. Die KI-Unterauftragsverarbeiter speichern übermittelte Inhalte nur gemäß den in Anlage 2 angegebenen Speicherkonfigurationen.

7.5 KI-Ausgaben sind Extraktionen und Vorschläge, die den in der Vereinbarung beschriebenen Prüfmechanismen unterliegen; die Plattform trifft keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen, die rechtliche Wirkung gegenüber betroffenen Personen entfalten (Art 22 DSGVO).

8. Rechte betroffener Personen

Orderlion leitet jede eingehende Anfrage einer betroffenen Person, die Kunden-Personendaten betrifft, unverzüglich an den Kunden weiter und beantwortet sie nur nach Weisung. Unter Berücksichtigung der Art der Verarbeitung unterstützt Orderlion den Kunden mit geeigneten technischen und organisatorischen Maßnahmen (einschließlich Export-, Korrektur- und Löschfunktionen der Plattform) bei der Erfüllung von Anfragen nach Kapitel III DSGVO.

9. Verletzung des Schutzes personenbezogener Daten

9.1 Orderlion meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die Kunden-Personendaten betrifft, unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntniserlangung.

9.2 Die Meldung beschreibt, soweit bekannt: die Art der Verletzung (soweit möglich: Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze), eine Kontaktstelle, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Informationen können unverzüglich schrittweise bereitgestellt werden, sobald sie verfügbar sind.

9.3 Die Risikobewertung sowie etwaige Meldungen an Aufsichtsbehörden (Art 33) und betroffene Personen (Art 34) liegen in der Verantwortung des Kunden; Orderlion leistet angemessene Unterstützung und meldet nicht im Namen des Kunden an Behörden oder betroffene Personen, sofern nichts anderes gesondert vereinbart ist.

10. Unterstützung (Art 32-36 DSGVO)

Unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen unterstützt Orderlion den Kunden bei der Einhaltung der Art 32-36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen, vorherige Konsultation). Unterstützung, die wesentlich über die aus diesem AVV, seinen Anlagen und der veröffentlichten Dokumentation verfügbaren Informationen hinausgeht, kann zu den Standardsätzen von Orderlion verrechnet werden.

11. Nachweis der Einhaltung und Überprüfungen

11.1 Orderlion stellt die Informationen zur Verfügung, die zum Nachweis der Einhaltung des Art 28 DSGVO erforderlich sind: diesen AVV und seine Anlagen, die aktuellen TOM sowie schriftliche Antworten auf angemessene Audit-Fragebögen (unter Vertraulichkeit).

11.2 Reichen diese Informationen zum Nachweis der Einhaltung nicht aus, oder ist eine Überprüfung von einer Aufsichtsbehörde verlangt oder erfolgt sie im Anschluss an eine Verletzung des Schutzes personenbezogener Daten, die den Kunden betrifft, kann der Kunde (oder ein von ihm beauftragter unabhängiger Prüfer, der kein Wettbewerber von Orderlion ist) eine Überprüfung einschließlich einer Vor-Ort-Inspektion in den Räumlichkeiten von Orderlion durchführen: höchstens einmal je 12 Monate, mit einer Ankündigungsfrist von mindestens 30 Tagen, während der Geschäftszeiten, unter Vertraulichkeit und ohne unangemessene Beeinträchtigung des Betriebs. Jede Partei trägt ihre eigenen Kosten; ergibt die Überprüfung eine wesentliche Nichteinhaltung, trägt Orderlion die angemessenen Prüfkosten des Kunden.

12. Internationale Datenübermittlungen

12.1 Kunden-Personendaten werden im Produktivbetrieb auf Infrastruktur in der EU gehostet (AWS Frankfurt). Übermittlungen an Unterauftragsverarbeiter außerhalb der EU/des EWR erfolgen nur wie in Anlage 2 dokumentiert und nur mit einem gültigen Übermittlungsmechanismus nach Kapitel V DSGVO: einem Angemessenheitsbeschluss (einschließlich des EU-US Data Privacy Framework für zertifizierte Empfänger) oder Standardvertragsklauseln (2021/914, Modul 3), die Orderlion mit dem Unterauftragsverarbeiter abgeschlossen hat, gegebenenfalls mit ergänzenden Maßnahmen.

12.2 Verliert ein herangezogener Übermittlungsmechanismus seine Gültigkeit (z. B. bei Aufhebung eines Angemessenheitsbeschlusses), setzt Orderlion unverzüglich einen alternativen gültigen Mechanismus um; die Standardvertragsklauseln dienen als Rückfalloption für nach dem Data Privacy Framework zertifizierte Empfänger.

12.3 Die Genehmigung der in Anlage 2 dokumentierten Übermittlungen durch den Kunden stellt seine dokumentierte Weisung hinsichtlich der Übermittlungen dar (Art 28 Abs 3 lit a DSGVO).

13. Rückgabe und Löschung

13.1 Für 30 Tage nach dem Ende der Vereinbarung kann der Kunde Kunden-Personendaten in gängigen Formaten über die Plattform oder auf Anfrage mit Unterstützung von Orderlion exportieren.

13.2 Nach Ablauf des Exportzeitraums löscht Orderlion die Kunden-Personendaten aus ihren aktiven Systemen, abgeschlossen spätestens 90 Tage nach dem Ende der Vereinbarung, sofern nicht das Recht der Union oder eines Mitgliedstaats eine Speicherung verlangt. Daten in Backup-Systemen werden nicht aktiv gelöscht, laufen aber mit der regulären Backup-Rotation ab, spätestens 30 Tage nach der Löschung aus den aktiven Systemen; bis zum Ablauf bleiben sie durch die Maßnahmen in Anlage 3 geschützt, werden nicht in den aktiven Betrieb zurückgeführt, und wenn eine Wiederherstellung anderer Daten gelöschte Kunden-Personendaten reproduziert, wird die Löschung erneut ausgeführt.

13.3 Auf Anfrage bestätigt Orderlion die Löschung schriftlich (Umfang: Abschluss in den aktiven Systemen und der Ablaufplan der Backups).

14. Haftung

Die Haftungsregelung der Vereinbarung (Ziffer 10 der AGB) gilt für Ansprüche zwischen den Parteien aus oder im Zusammenhang mit diesem AVV. Die gesetzliche Haftung gegenüber betroffenen Personen (Art 82 DSGVO) und die uneingeschränkte Haftung von Orderlion für ihre Unterauftragsverarbeiter (Ziffer 6.4) bleiben unberührt.

15. Laufzeit und Änderungen

15.1 Dieser AVV gilt, solange Orderlion Kunden-Personendaten verarbeitet, und besteht über das Ende der Vereinbarung hinaus fort, bis die Löschung nach Ziffer 13 abgeschlossen ist.

15.2 Änderungen dieses AVV folgen dem Mechanismus der Ziffer 1.4 der AGB; Änderungen bei Unterauftragsverarbeitern folgen Ziffer 6 dieses AVV. Frühere Fassungen dieses AVV bleiben unter www.orderlion.com/dpa abrufbar.

15.3 Es gilt österreichisches Recht gemäß der Vereinbarung; Gerichtsstand gemäß der Vereinbarung.

Anlage 1 - Beschreibung der Verarbeitung

1. Gegenstand. Bereitstellung und Betrieb der Orderlion-Plattform für den Kunden: eine mandantenfähige Cloud-Bestellplattform, über die die Geschäftskunden des Kunden Bestellungen aufgeben, die erfasst, strukturiert und an das eigene ERP-System des Kunden übergeben werden, samt der zugehörigen Kommunikations-, Benachrichtigungs-, Authentifizierungs-, Überwachungs- und KI-gestützten Extraktionsfunktionen.

2. Dauer. Für die Laufzeit der Vereinbarung. Bei Beendigung gilt der Zeitplan für Rückgabe und Löschung nach Ziffer 13 dieses AVV, der den nachstehend angegebenen Speicherfristen vorgeht.

3. Art und Zweck der Verarbeitung.

Inbox: Empfang von Bestellnachrichten

Art und Zweck: Empfang und Speicherung von Bestellnachrichten der Besteller, die der Kunde an seine Orderlion-Inbox-Adresse weiterleitet. Der Empfang erfolgt über Mailgun oder AWS SES, die per Webhook an Orderlion zustellen.
Verarbeitete personenbezogene Daten: E-Mail-Adressen von Absender und Empfänger; Betreff; Nachrichtentext; Anhänge; Sprach- und Audiodateien bei Mailbox-Bestellungen; E-Mail-Metadaten
Betroffene Personen: Bestellnutzer und deren Mitarbeiter
Speicherdauer während der Laufzeit: Rohe Nachrichteninhalte: 90 Tage, wenn die Nachricht eine Bestellung enthält, 30 Tage, wenn nicht

Inbox: KI-gestützte Bestellextraktion

Art und Zweck: Umwandlung von Nachrichteninhalten in strukturierte Bestelldaten. Die Inhalte werden per API an die in Anlage 2 genannten beauftragten KI-Anbieter übermittelt und anhand der vordefinierten Prompts von Orderlion verarbeitet. Sprachnachrichten werden vor der Extraktion auf EU-Infrastruktur transkribiert.
Verarbeitete personenbezogene Daten: Klartext von Nachrichtentext und Anhängen, einschließlich aller personenbezogenen Daten, die der Absender beigefügt hat; Audiotranskripte; extrahierte Bestellfelder
Betroffene Personen: Bestellnutzer und deren Mitarbeiter
Speicherdauer während der Laufzeit: Wie oben

KI-Assistent, Berichte und Empfehlungen

Art und Zweck: Beantwortung geschäftlicher Fragen zu den eigenen Plattformdaten des Kunden, Erstellung automatisierter Berichte für die Mitarbeiter des Kunden und Erzeugung von Produktempfehlungskampagnen. Ausschließlich beratende Ausgabe.
Verarbeitete personenbezogene Daten: Nutzerkennungen; Bestellhistorie und je Funktion erforderliche Plattformdaten; gestellte Fragen und erzeugte Antworten
Betroffene Personen: Bestellnutzer, Mitarbeiter des Kunden
Speicherdauer während der Laufzeit: 1 Jahr

Bestellanlage und Bestellabwicklung

Art und Zweck: Erfassung und Verarbeitung von auf der Plattform aufgegebenen Bestellungen sowie Übergabe bestätigter Bestellungen an das ERP-System des Kunden.
Verarbeitete personenbezogene Daten: Kennung des Bestellnutzers; Kundenreferenz; Bestellpositionen (Artikel, Mengen, Preise); Bestelldatum und -zeit; Lieferdetails
Betroffene Personen: Bestellnutzer
Speicherdauer während der Laufzeit: 2 Jahre, danach wird die Verknüpfung zwischen dem Bestelldatensatz und dem bestellenden Nutzer entfernt

Checkout und Zahlungserfassung

Art und Zweck: Erfassung plattforminterner Bestellzahlungen für die Aufzeichnungen des Kunden und zur Anzeige gegenüber dem Kunden und dem Besteller.
Verarbeitete personenbezogene Daten: Kennung des Bestellnutzers; Gesamtzahlungsbetrag; Zahlungsstatus; Zeitstempel. Karten- und Bankdaten werden ausschließlich vom Zahlungsdienstleister verarbeitet und von Orderlion nicht gespeichert.
Betroffene Personen: Bestellnutzer
Speicherdauer während der Laufzeit: 2 Jahre

Einladung, Registrierung und Onboarding von Bestellnutzern

Art und Zweck: Einladung von Bestellnutzern durch den Kunden und Anlage ihrer Konten, um Anmeldung, Kontozuordnung und Zuordnung aufgegebener Bestellungen zu ermöglichen. Einladungen werden stets vom Kunden ausgelöst und per E-Mail sowie, wenn der Kunde eine Mobilnummer bereitstellt, per SMS versendet. Die SMS enthält nur den Einladungslink, den Einladungscode und den Namen des Kunden.
Verarbeitete personenbezogene Daten: Name (optional); geschäftliche E-Mail-Adresse; Mobiltelefonnummer, soweit für die Einladung verwendet; Einladungsreferenz; Zuordnung zum Konto des Kunden
Betroffene Personen: Bestellnutzer
Speicherdauer während der Laufzeit: 1 Jahr nach der letzten Aktivität

Authentifizierung und Zugriffskontrolle

Art und Zweck: Überprüfung der Nutzeridentität bei der Anmeldung und Beschränkung des Zugriffs auf die Daten, die der jeweilige Nutzer einsehen darf.
Verarbeitete personenbezogene Daten: E-Mail-Adresse; gesalzener Passwort-Hash; Anmeldezeitstempel; Sitzungskennungen
Betroffene Personen: Bestellnutzer, Mitarbeiter des Kunden
Speicherdauer während der Laufzeit: 1 Jahr nach der letzten Aktivität

Plattforminterne Nachrichten

Art und Zweck: Bereitstellung des Nachrichtenaustauschs zwischen den Mitarbeitern des Kunden und seinen Bestellnutzern, einschließlich der Zustellung von Nachrichtenbenachrichtigungen.
Verarbeitete personenbezogene Daten: Nutzerkennungen von Absender und Empfänger; Nachrichtentext und Anhänge; Zeitstempel; Metadaten zur Benachrichtigungszustellung
Betroffene Personen: Bestellnutzer, Mitarbeiter des Kunden
Speicherdauer während der Laufzeit: 1 Jahr

Transaktionsbenachrichtigungen

Art und Zweck: Versand transaktionsbezogener Benachrichtigungen wie Bestellbestätigungen und Statusaktualisierungen per E-Mail und mobiler Push-Benachrichtigung im Auftrag des Kunden.
Verarbeitete personenbezogene Daten: Name und E-Mail-Adresse des Empfängers oder Push-Token des Geräts; Inhalt der Benachrichtigung; Versandzeitstempel
Betroffene Personen: Bestellnutzer, Mitarbeiter des Kunden
Speicherdauer während der Laufzeit: 4 Wochen

Sicherheitsüberwachung (Zugriffskontrollschicht)

Art und Zweck: Protokollierung sicherheitsrelevanter Nutzeraktionen in der internen Zugriffskontrollschicht der Plattform, insbesondere löschender oder berechtigungsändernder Aktionen, um Nachvollziehbarkeit zu gewährleisten und die Untersuchung von Sicherheitsvorfällen zu unterstützen.
Verarbeitete personenbezogene Daten: Nutzerkennung; Aktionstyp und Zielobjekt; Zeitstempel; technische Metadaten einschließlich IP-Adresse und Sitzung
Betroffene Personen: Bestellnutzer, Mitarbeiter des Kunden
Speicherdauer während der Laufzeit: 1 Jahr

Unterstützung bei Anfragen zu Rechten betroffener Personen

Art und Zweck: Bearbeitung von Anfragen nach den Artikeln 12 bis 23 DSGVO in Bezug auf Plattformdaten, einschließlich Identitätsprüfung, Erfüllung und Dokumentation des Ergebnisses als Nachweis der Einhaltung.
Verarbeitete personenbezogene Daten: Identität und Kontaktdaten des Anfragenden; Verifizierungsdaten; Inhalt der Anfrage; Ergebnisdokumentation und Korrespondenz
Betroffene Personen: Bestellnutzer, Mitarbeiter des Kunden
Speicherdauer während der Laufzeit: 1 Jahr nach der letzten Aktivität

4. Arten personenbezogener Daten. Identifikations- und Kontaktdaten (Name, geschäftliche E-Mail-Adresse und Mobiltelefonnummer, soweit für Bestellereinladungen verwendet); Konto- und Anmeldedaten (Zugangsdaten in gehashter Form, Rollen, Berechtigungen, Sitzungsdaten); Bestell- und Transaktionsdaten; Nachrichten- und E-Mail-Inhalte und -Metadaten, einschließlich Anhängen und über die Inbox verarbeiteten Sprachnachrichten; technische Daten (IP-Adresse, Geräte- und Browserinformationen, Zeitstempel).

5. Kategorien betroffener Personen. Bestellnutzer und deren Mitarbeiter, das heißt Beschäftigte der eigenen Geschäftskunden des Kunden; die Mitarbeiter des Kunden, die die Plattform nutzen.

6. Besondere Kategorien personenbezogener Daten. Nicht vorgesehen, und keine Funktion ist auf ihre Erhebung ausgelegt. Da der Inhalt der über die Inbox verarbeiteten Nachrichten vom Absender bestimmt wird und nicht vorab gefiltert werden kann, können solche Inhalte beiläufig personenbezogene Daten enthalten, die der Absender beigefügt hat.

7. Häufigkeit der Verarbeitung. Fortlaufend für die Dauer der Vereinbarung.

Anlage 2 - Unterauftragsverarbeiter

Listet ausschließlich Unterauftragsverarbeiter auf, die Kunden-Personendaten im Auftrag von Orderlion verarbeiten. Anbieter, die ausschließlich für den internen Betrieb von Orderlion genutzt werden, sind keine Unterauftragsverarbeiter im Sinne dieses AVV und werden nicht aufgeführt. Wird eine Integrations-Middleware oder ein EDI-Anbieter vom Kunden und nicht von Orderlion beauftragt, ist dieser Anbieter ein eigener Auftragsverarbeiter des Kunden und wird hier nicht aufgeführt; beauftragt Orderlion einen solchen Anbieter, wird er aufgeführt und als nur für diejenigen Konten geltend gekennzeichnet, deren Integration ihn nutzt.

Die aktuelle Fassung dieser Liste ist unter www.orderlion.com/subprocessors veröffentlicht (Ziffer 6.1).

Amazon Web Services

Rechtsträger und Firmensitz: Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg
Rolle und Zweck: Hosting aller Produktivsysteme; ein- und ausgehende E-Mails über AWS SES; EU-gehostete KI-Modellbereitstellung über AWS Bedrock
Verarbeitungsort: EU (Frankfurt, eu-central-1)
Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption
Speicherdauer beim Unterauftragsverarbeiter: Von Orderlion gesteuert; Daten bleiben bestehen, bis sie auf Weisung gelöscht werden, keine eigenständige Speicherung von Inhalten

MongoDB Atlas

Rechtsträger und Firmensitz: MongoDB Limited, Building 2, Number One Ballsbridge, Shelbourne Road, Ballsbridge, Dublin 4, Ireland
Rolle und Zweck: Betrieb der Anwendungsdatenbank
Verarbeitungsort: EU (AWS Frankfurt)
Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption
Speicherdauer beim Unterauftragsverarbeiter: Von Orderlion gesteuert; Backup-Snapshots laufen gemäß konfiguriertem Zeitplan ab

Anthropic

Rechtsträger und Firmensitz: Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA
Rolle und Zweck: Anbieter großer Sprachmodelle für die Inbox-Bestellextraktion und KI-Assistenzfunktionen
Verarbeitungsort: Standardmäßig Vereinigte Staaten. Aktiviert der Kunde die EU-only-Option, erfolgt die Verarbeitung ausschließlich über AWS Bedrock in der EU (Frankfurt) und es findet keine Übermittlung statt.
Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption. Nicht anwendbar, wenn die EU-only-Option aktiv ist.
Speicherdauer beim Unterauftragsverarbeiter: API-Eingaben und -Ausgaben werden innerhalb von 30 Tagen gelöscht. Von automatisierten Missbrauchssystemen markierte Inhalte werden bis zu 2 Jahre gespeichert, Klassifizierungswerte bis zu 7 Jahre. Unter der EU-Option richtet sich die Speicherdauer nach der Bedrock-Konfiguration.

OpenAI

Rechtsträger und Firmensitz: OpenAI Ireland Ltd, company registration 737350, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Ireland
Rolle und Zweck: Anbieter großer Sprachmodelle für die Inbox-Bestellextraktion und KI-Assistenzfunktionen. Wird für Konten mit der EU-only-Option nicht eingesetzt.
Verarbeitungsort: Vereinigte Staaten
Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption
Speicherdauer beim Unterauftragsverarbeiter: API-Eingaben und -Ausgaben werden bis zu 30 Tage zur Missbrauchsüberwachung gespeichert und anschließend gelöscht

Microsoft Azure

Rechtsträger und Firmensitz: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Ireland
Rolle und Zweck: Azure OpenAI Whisper Speech-to-Text zur Transkription von Inbox-Sprachnachrichten vor der Extraktion
Verarbeitungsort: EU
Übermittlungsmechanismus: EU-Rechtsträger, keine Drittlandsübermittlung
Speicherdauer beim Unterauftragsverarbeiter: Die Missbrauchsüberwachung ist standardmäßig aktiviert und kann im Tarif von Orderlion nicht deaktiviert werden. Eine Stichprobe von Audiodaten und den zugehörigen Transkriptionen wird bis zu 30 Tage in einem isolierten Speicher aufbewahrt, der nur autorisierten Microsoft-Prüfern zugänglich ist, und anschließend gelöscht.

Mailgun

Rechtsträger und Firmensitz: Mailgun Technologies, Inc. (Sinch group), 112 E Pecan St, Suite 1135, San Antonio, TX 78205, USA
Rolle und Zweck: Empfang eingehender Bestell-E-Mails und Versand ausgehender Transaktions-E-Mails
Verarbeitungsort: EU (Mailgun EU region)
Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption. Die Daten werden in der EU gehalten, der Vertragspartner ist jedoch ein US-Unternehmen, weshalb der Mechanismus beibehalten wird, statt "keine Übermittlung" anzugeben.
Speicherdauer beim Unterauftragsverarbeiter: Nachrichtentexte bis zu 30 Tage; Ereignis- und Protokolldaten bis zu 30 Tage

Google Firebase

Rechtsträger und Firmensitz: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland
Rolle und Zweck: Mobile Push-Benachrichtigungen für die Orderlion-App und White-Label-Apps
Verarbeitungsort: Außerhalb der EU (USA)
Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption
Speicherdauer beim Unterauftragsverarbeiter: Nicht zugestellte Push-Nachrichten laufen nach einer maximalen Time-to-live von 4 Wochen ab; zugestellte Nachrichten werden nicht gespeichert

ONLINECITY.IO (GatewayAPI)

Rechtsträger und Firmensitz: ONLINECITY.IO ApS, Buchwaldsgade 50, 5000 Odense C, Denmark
Rolle und Zweck: Versand von SMS-Nachrichten: vom Kunden ausgelöste Einladungen von Bestellnutzern, die den Einladungslink, den Einladungscode und den Namen des Kunden enthalten
Verarbeitungsort: EU (Dänemark)
Übermittlungsmechanismus: EU-Rechtsträger, keine Drittlandsübermittlung
Speicherdauer beim Unterauftragsverarbeiter: Empfänger- und Absendernummern, Nachrichteninhalt und Zustellmetadaten werden maximal 30 Tage gespeichert und anschließend automatisch gelöscht oder unwiderruflich anonymisiert

Stripe

Rechtsträger und Firmensitz: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, D02 H210, Ireland
Rolle und Zweck: Abwicklung plattforminterner Bestellzahlungen. Stripe handelt teils als Auftragsverarbeiter von Orderlion und teils als eigenständiger Verantwortlicher für Betrugsprävention und zur Erfüllung finanzaufsichtsrechtlicher Vorgaben.
Verarbeitungsort: Außerhalb der EU (USA)
Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption
Speicherdauer beim Unterauftragsverarbeiter: Transaktionsaufzeichnungen werden für die nach finanzaufsichtsrechtlichen, geldwäscherechtlichen und terrorismusfinanzierungsrechtlichen Vorschriften vorgeschriebenen Zeiträume gespeichert

Zendesk

Rechtsträger und Firmensitz: Zendesk International Limited, 55 Charlemont Place, Saint Kevin's, Dublin 2, D02 F002, Ireland
Rolle und Zweck: Ticketing-Plattform für Supportanfragen, die Kunden-Personendaten enthalten können
Verarbeitungsort: EU
Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption
Speicherdauer beim Unterauftragsverarbeiter: Tickets werden 120 Tage nach Schließung archiviert; endgültige Löschung 3 Jahre nach Schließung

Aircall

Rechtsträger und Firmensitz: Aircall SAS, 11-15 rue Saint Georges, 75009 Paris, France
Rolle und Zweck: Telefonieplattform für Support- und Vertriebsanrufe sowie für SMS
Verarbeitungsort: EU
Übermittlungsmechanismus: EU-Rechtsträger, keine Drittlandsübermittlung
Speicherdauer beim Unterauftragsverarbeiter: Inhalte werden durch eine planmäßige quartalsweise Bereinigung bei einer Schwelle von 90 Tagen gelöscht, woraus sich ein Höchstalter von knapp unter 6 Monaten ergibt. Aircall speichert Daten maximal 30 Tage nach Beendigung des Kontos.

Datadog

Rechtsträger und Firmensitz: Datadog, Inc., 620 8th Avenue, 45th Floor, New York, NY 10018, USA
Rolle und Zweck: Infrastruktur- und Anwendungsüberwachung sowie Fehlerverfolgung
Verarbeitungsort: EU (datadoghq.eu site)
Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption
Speicherdauer beim Unterauftragsverarbeiter: Protokolle werden 14 Tage gespeichert, wie von Orderlion konfiguriert

Sentry

Rechtsträger und Firmensitz: Functional Software, Inc. dba Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA
Rolle und Zweck: Clientseitige Fehlerverfolgung
Verarbeitungsort: Außerhalb der EU (USA)
Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption
Speicherdauer beim Unterauftragsverarbeiter: Fehlerereignisse werden je nach Datentyp 30 bis 90 Tage gespeichert

Mixpanel

Rechtsträger und Firmensitz: Mixpanel, Inc., One Front Street, 28th Floor, San Francisco, CA 94111, USA
Rolle und Zweck: Produktanalysen auf Basis pseudonymisierter Plattformnutzungsereignisse. Ausschließlich eine pseudonyme Nutzerkennung, Informationen zur Funktionsnutzung und zum Gerät; es werden keine Namen, Kontaktdaten oder Bestellinhalte übermittelt.
Verarbeitungsort: Außerhalb der EU (USA)
Übermittlungsmechanismus: EU-US Data Privacy Framework, Standardvertragsklauseln als Rückfalloption
Speicherdauer beim Unterauftragsverarbeiter: Die Speicherdauer für Ereignisdaten ist auf 2 Jahre konfiguriert, danach werden die Daten gelöscht oder anonymisiert

Anlage 3 - Technische und organisatorische Maßnahmen (Art 32 DSGVO)

Enthält ausschließlich Maßnahmen, die umgesetzt sind und überprüft und bestätigt wurden. Maßnahmen, die geplant sind oder sich in Umsetzung befinden, werden hier bewusst nicht aufgeführt; Orderlion legt diese gesondert in ihrer Security Overview offen, statt sie als operative Kontrollen darzustellen.

1. Pseudonymisierung und Verschlüsselung (Art 32 Abs 1 lit a)

Verschlüsselung im Ruhezustand. Alle Kunden-Personendaten werden im Ruhezustand mit AES-256 verschlüsselt. Die Anwendungsdatenbank auf MongoDB Atlas und der von der Plattform genutzte AWS-Speicher wenden anbieterseitige Verschlüsselung automatisch an und decken dabei Live-Daten, Snapshots und Backups ab. Das Schlüsselmanagement wird von den Infrastrukturanbietern im Rahmen ihrer zertifizierten Programme betrieben; eine Option für kundenverwaltete Schlüssel wird nicht angeboten.

Verschlüsselung bei der Übertragung. Der gesamte Datenverkehr zwischen Clients, also Browser, mobilen Anwendungen und API-Nutzern, und den Servern von Orderlion wird mittels TLS verschlüsselt. Veraltete SSL-Protokolle sind deaktiviert. Der Dateiaustausch mit Kundensystemen erfolgt über FTPS oder SFTP.

Schutz von Zugangsdaten. Passwörter für Nutzeranmeldungen werden gesalzen und mit bcrypt gehasht gespeichert und niemals im Klartext. Interne Dienst-Zugangsdaten werden mit AES-256 verschlüsselt gespeichert.

2. Vertraulichkeit und Zugriffskontrolle (Art 32 Abs 1 lit b)

Mandantentrennung. Kundendaten sind logisch je Mandant getrennt, und die Trennung wird von der Autorisierungsschicht der Plattform bei jeder Anfrage durchgesetzt.

Individuelle Konten. Mitarbeiter und Auftragnehmer nutzen individuelle, persönlich zurechenbare Konten auf jedem System, das personenbezogene Daten enthält oder sicherheitsrelevanten Zugriff bietet. Gemeinsam genutzte Zugangsdaten sind für diese Systeme untersagt. Wenn ein Zugangsdatum tatsächlich von mehr als einer Person genutzt werden muss, wird es über eine Sicherheitsgruppe im Unternehmens-Passwortmanager geteilt und nicht als gemeinsamer Login, sodass der Zugriff je Person zurechenbar und entziehbar bleibt.

Passwortrichtlinie und Passwortmanager. Ein Unternehmens-Passwortmanager (NordPass Business, EU-Datenresidenz) ist für alle Mitarbeiter und Auftragnehmer verpflichtend und wird über Google Workspace Single Sign-on aufgerufen. Gespeicherte Zugangsdaten erfordern eine Mindeststärke von 20 Zeichen mit komplexer Struktur und werden mindestens jährlich geändert. Die Deaktivierung des Workspace-Kontos beim Offboarding entzieht automatisch den Zugriff auf alle gespeicherten Zugangsdaten.

Multi-Faktor-Authentifizierung. MFA ist auf geschäftskritischen Systemen verpflichtend, einschließlich des Identitätsanbieters Google Workspace, über den der Passwortmanager erreicht wird. Die Kontowiederherstellung ist auf die Geschäftsführungsebene beschränkt.

Prinzip der geringsten Rechte. Der Zugriff folgt einem rollenbasierten Modell, das auf die betriebliche Notwendigkeit beschränkt ist, wobei löschende Aktionen auf die höchste Berechtigungsstufe beschränkt sind und Lieferanten Nutzer nur innerhalb ihres eigenen Kontos verwalten.

Impersonation-Kontrollen. Die Impersonation eines Kundennutzers gilt als sensibler Zugriff. Sie ist auf das Partnermanagement und freigegebenes technisches Personal beschränkt, nur zulässig, wenn sie betrieblich zur Fehlerbehebung, zum Onboarding, zur Migration oder aufgrund einer Kundenanfrage erforderlich ist, und für jeden nicht geschäftlichen Zweck untersagt.

Zugriffsüberprüfungen. Zugriffsrechte werden quartalsweise überprüft, und zwar in der Produktiv- und Cloud-Infrastruktur, bei administrativen Konten, Code-Repositories, Support- und Analysesystemen, beim Zugriff von Auftragnehmern und bei verwaisten Konten. Jede Überprüfung wird dokumentiert.

Netzwerkschutz. Host-Firewalls und Cloud-Sicherheitsgruppen sind standardmäßig geschlossen konfiguriert, wobei nur die für den Betrieb erforderlichen Ports geöffnet sind. Anwendungen laufen in Containern auf zustandslosen Hosts hinter Load Balancern.

Serverzugriff. Der Serverzugriff ist auf namentlich benannte Personen beschränkt und läuft vorrangig über AWS Systems Manager statt über verteilte SSH-Schlüssel. Soweit SSH-Schlüssel verwendet werden, liegen sie ausschließlich beim CTO und beim Head of Engineering.

Gerätesicherheit. Vom Unternehmen verwaltete Geräte sind der Standard für alle Arbeiten und erfordern eine starke Entsperrmethode, Festplattenverschlüsselung, automatische Bildschirmsperre, aktuelle Betriebssystem-Updates sowie Remote-Sperre oder -Löschung, soweit technisch möglich. Private Geräte dürfen nur für Kommunikations- und interne Dokumentationswerkzeuge genutzt werden und niemals für Kunden- oder Plattformdaten, Datenbank-, Produktiv- oder Infrastrukturzugriffe, HR- oder Lohnsysteme oder Datenexporte.

Offboarding. Zugriffe werden anhand einer dokumentierten Offboarding-Checkliste entzogen: Konto beim Identitätsanbieter deaktiviert, SaaS-, Cloud-, Repository- und Kommunikationszugriffe entfernt, Geräte zurückgeholt und Zugangsdaten rotiert, soweit erforderlich. Da sich der Unternehmens-Passwortmanager über Google Workspace Single Sign-on authentifiziert, entzieht die Deaktivierung des Workspace-Kontos automatisch den Zugriff auf alle gespeicherten Zugangsdaten und nicht erst als gesonderter manueller Schritt.

E-Mail-Authentizität. Versanddomains sind mit SPF, DKIM und DMARC geschützt.

3. Integrität, Verfügbarkeit und Belastbarkeit (Art 32 Abs 1 lit b)

Hosting. Alle Produktivsysteme und die Anwendungsdatenbank laufen auf Amazon Web Services in der Region Frankfurt (eu-central-1), Deutschland. Physische Rechenzentrumssicherheit, Umgebungskontrollen und Schutzmaßnahmen auf Netzwerkebene einschließlich der Abwehr verteilter Denial-of-Service-Angriffe werden von AWS im Rahmen des eigenen zertifizierten Programms bereitgestellt.

Belastbarkeit. Anwendungsserver sind zustandslos, mit automatisierten Health Checks alle 30 Sekunden, automatischem Ersatz fehlerhafter Instanzen und Auto-Scaling bei Lastspitzen.

Verfügbarkeit. Das vertragliche Verfügbarkeitsziel beträgt 99% pro Kalendermonat, ausgenommen angekündigte Wartungen und Umstände außerhalb des Einflussbereichs von Orderlion. Die Verfügbarkeit wird laufend überwacht.

Backup. Kritische Datenbank-Collections werden täglich an einem sicheren, verschlüsselten entfernten Speicherort gesichert, und importierte Kunden- und Preisdaten werden wöchentlich gesichert. Backups werden 30 Tage aufbewahrt und laufen dann automatisch ab, sodass aus aktiven Systemen gelöschte Daten innerhalb dieses Zeitfensters auch aus den Backups verschwinden.

Wiederherstellungsziele. Ein Recovery Time Objective von 8 Stunden, also die maximale Zeit zur Wiederherstellung des Dienstes nach einem Vorfall, und ein Recovery Point Objective von 24 Stunden, also das maximal tolerierbare Datenverlustfenster, abgestimmt auf den täglichen Backup-Zyklus.

4. Protokollierung und Überwachung

Infrastruktur- und Anwendungsüberwachung. Die serverseitige Überwachung umfasst Zustand, Performance und Anomaliealarme, mit Fehlerverfolgung sowohl auf Server- als auch auf Clientseite. Das Senior-Team wird über ungeplante Ereignisse alarmiert, auch außerhalb der Geschäftszeiten und an Wochenenden.

Plattform-Audit-Trail. Eine interne Zugriffskontrollschicht zeichnet sicherheitsrelevante Nutzeraktionen auf der Plattform auf, insbesondere löschende oder berechtigungsändernde Aktionen wie das Deaktivieren von Bestellern oder Produkten, sodass solche Aktionen nachvollziehbar bleiben.

Brute-Force-Schutz. SSH-Anmeldeversuche werden protokolliert und verdächtige Quelladressen automatisch blockiert.

Protokollspeicherung und -zugriff. Die Speicherdauer unterscheidet sich je Werkzeug: Infrastruktur- und Anwendungsprotokolle werden 14 Tage gespeichert, Fehlerereignisse je nach Datentyp 30 bis 90 Tage und Serverprotokolle maximal 30 Tage. Der Zugriff ist auf autorisiertes Engineering-Personal beschränkt, und Protokolle werden weder an Dritte noch an einzelne Kunden weitergegeben, da sie Daten von mehr als einem Mandanten enthalten können.

5. Sichere Entwicklung

Vier-Augen-Prinzip. Jede für den Produktivbetrieb bestimmte Änderung wird vor der Freigabe von mindestens einem weiteren Entwickler überprüft und genehmigt.

Automatisierte Tests. Mehr als 2.000 automatisierte Unit- und Integrationstests laufen bei jedem Deployment, End-to-End-Tests laufen wöchentlich, und vor größeren Releases erfolgt eine manuelle Qualitätssicherung.

Umgebungstrennung. Produktiv-, Staging- und Entwicklungsumgebungen sind getrennt.

Abhängigkeits- und Schwachstellen-Scanning. Automatisiertes Abhängigkeits- und Schwachstellen-Scanning läuft gegen die Code-Repositories, sodass bekannte Schwachstellen in Paketen Dritter zur Behebung sichtbar werden.

6. Spezifische Schutzmaßnahmen für die KI-Verarbeitung

Die Bestellextraktion nutzt große Sprachmodelle, auf die per API von den in Anlage 2 genannten Anbietern zugegriffen wird, auf Grundlage von Auftragsverarbeitungsverträgen. Sprachnachrichten werden vor der Extraktion auf EU-Infrastruktur transkribiert. Den Anbietern ist es vertraglich untersagt, ihre Modelle mit über Orderlion übermittelten Kunden-Personendaten zu trainieren. Plattformdaten werden in der EU gespeichert, und die KI-Verarbeitung kann auf Anfrage auf EU-gehostete Infrastruktur beschränkt werden. Unsichere oder auffällige Extraktionen werden zur menschlichen Prüfung markiert, und der Kunde entscheidet, ob jede extrahierte Bestellung vor der Übergabe an sein ERP-System geprüft wird.

7. Organisatorische Maßnahmen

Richtlinienrahmen. Eine schriftliche interne Compliance- und Sicherheitsrichtlinie regelt Identität und Authentifizierung, Gerätesicherheit, freigegebene Werkzeuge, Zugriffskontrolle, Umgang mit und Klassifizierung von Kundendaten, KI-Nutzung, Lieferantenmanagement, Incident Response sowie On- und Offboarding. Sie wird mindestens jährlich überprüft und ist Bestandteil jedes Arbeits- und Auftragsverhältnisses.

Incident Response. Vorfälle werden durch Überwachung erkannt, nach Schweregrad klassifiziert, an CTO, Engineering Lead und CEO eskaliert, eingedämmt, auf ihre Grundursache analysiert und mit einem Post-mortem abgeschlossen. Für Verletzungen des Schutzes personenbezogener Daten gilt zusätzlich ein dokumentiertes DSGVO-Verfahren: Jede Verletzung wird in einem Verletzungsregister erfasst, und soweit Orderlion als Auftragsverarbeiter handelt, werden betroffene Kunden unverzüglich und spätestens innerhalb von 72 Stunden nach Kenntniserlangung benachrichtigt, oder innerhalb einer im Einzelvertrag vereinbarten kürzeren Frist.

Security-Awareness-Schulungen. Neue Mitarbeiter erhalten innerhalb ihrer ersten beiden Wochen ein Sicherheits- und Datenschutz-Onboarding, das Phishing, Passworthygiene und den Passwortmanager, den Umgang mit Kundendaten, die Meldung von Vorfällen und die Regeln für KI-Werkzeuge abdeckt und auf einem dokumentierten Curriculum beruht. Eine Auffrischung ist für alle Mitarbeiter jährlich verpflichtend, mit rollenspezifischen Einheiten für Engineering und für die kommerziellen Teams. Die Teilnahme wird dokumentiert und die Abdeckung quartalsweise gegen die aktuelle Mitarbeiterliste verifiziert.

Lieferantenmanagement. Bevor ein neuer Anbieter eingesetzt wird, deckt eine dokumentierte Prüfung die zu teilenden Daten, die Unterstützung von Authentifizierung und Single Sign-on, die Verfügbarkeit eines Auftragsverarbeitungsvertrags, EU-Hosting, die Geschäftskritikalität und das Sicherheitsrisiko ab. Anbieter, die personenbezogene Daten verarbeiten, werden mit ihrem Übermittlungsmechanismus und dem Vertragsstatus in einem Unterauftragsverarbeiterregister erfasst.

Physische Sicherheit. Der Bürozugang ist mit physischen Schlüsseln gesichert, die in einem Schlüsselregister geführt werden, das jede Ausgabe und Rückgabe eines Schlüssels protokolliert, sodass Schlüsselinhaber nachvollziehbar bleiben. Das Büro ist jederzeit verschlossen, und physische Dokumente mit personenbezogenen Daten werden in versperrten Schränken aufbewahrt.

‍