Auftragsverarbeitungsvertrag

Zwischen

dem Auftraggeber — dem Großhändler, der dammi nach den Allgemeinen Geschäftsbedingungen nutzt, mit Firma und Anschrift aus seiner Anmeldung — im Folgenden „der Auftraggeber“ —

und dem Auftragnehmer — Adriano Pedone, Einzelunternehmen, handelnd unter der Geschäftsbezeichnung „dammi“, Lemsahler Landstraße 118 a, 22397 Hamburg — im Folgenden „dammi“ —.

Dieser Vertrag kommt zustande, indem der Auftraggeber ihm bei seiner Anmeldung in Textform zustimmt (Art. 28 Abs. 9 DSGVO). Er gilt in der Fassung, die zum Zeitpunkt der Zustimmung unter dammi.app/avv abrufbar war; dammi hält Datum und Fassung fest.

§ 1 Gegenstand und Dauer

(1) dammi stellt dem Auftraggeber die Bestellplattform dammi bereit. Dabei verarbeitet dammi personenbezogene Daten der Kunden, Mitarbeiter und Fahrer des Auftraggebers.

(2) Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. dammi ist Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO. dammi wird nicht Vertragspartner der Bestellungen und verfolgt mit den Daten keine eigenen Zwecke.

(3) Dieser Vertrag läuft, solange der Hauptvertrag läuft. Er endet mit ihm, und § 10 gilt darüber hinaus.

§ 2 Art, Umfang und Zweck der Verarbeitung

Zweck: Betrieb einer Bestellplattform, auf der die Kunden des Auftraggebers Waren bestellen, den Stand ihrer Bestellungen verfolgen, Rechnungen einsehen und Lieferungen bestätigen.

Verarbeitungen: Erheben, Speichern, Ordnen, Auslesen, Abgleichen mit dem Warenwirtschaftssystem des Auftraggebers, Übermitteln per E-Mail und Push-Nachricht, Löschen und Anonymisieren.

Kategorien betroffener Personen

• Inhaber und Mitarbeiter der bestellenden Betriebe
• Ansprechpartner in den Stammdaten des Auftraggebers
• Fahrerinnen und Fahrer des Auftraggebers
• Administratoren des Auftraggebers
• Personen, die eine Lieferung entgegennehmen

Kategorien personenbezogener Daten

• Kontaktdaten: Name, Firmenname, Anschrift, E-Mail, Telefon, Fax
• Zugangsdaten: E-Mail und Passwort-Hash, ggf. zweiter Faktor
• Vertragsdaten: Kundennummer, Preise, Rabatte, Konditionen
• Bestelldaten: Artikel, Mengen, Zeitpunkte, Wunschliefertag, Anmerkungen, Lieferadresse, Beträge, Bearbeitungsstand
• Rechnungsdaten: Nummern, Datum, Beträge, Zahlungsstand
• Nutzungsdaten: Bestellverlauf, häufig bestellte Artikel, Warenkorb
• Gerätedaten: Kennung für Push-Nachrichten, Plattform
• Zustellnachweise: Zeitpunkt, Unterschrift, gegebenenfalls Fotos
• Standortdaten der Fahrer während der Tour
• Protokolldaten: IP-Adressen zur Missbrauchsabwehr, technische Protokolle

Besondere Kategorien nach Art. 9 DSGVO werden nicht verarbeitet. Der Auftraggeber verpflichtet sich, solche Daten auch nicht einzustellen — etwa in das Freitextfeld einer Bestellung oder in eine Kundennotiz.

§ 3 Weisungen

*(Art. 28 Abs. 3 Satz 2 lit. a)*

(1) dammi verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Weisungen für den Regelbetrieb ergeben sich aus dem Hauptvertrag, aus diesem Vertrag und aus den Einstellungen, die der Auftraggeber im Verwaltungsbereich vornimmt.

(2) Einzelweisungen erteilt der Auftraggeber in Textform an die in § 12 genannte Stelle. Mündliche Weisungen bestätigt er unverzüglich in Textform.

(3) dammi widerspricht, wenn eine Weisung gegen das Datenschutzrecht verstößt (Art. 28 Abs. 3 Satz 3), und setzt sie bis zur Klärung aus. Bestehen bleibt die Verantwortung des Auftraggebers für die Rechtmäßigkeit seiner Weisungen.

(4) Eine Übermittlung in ein Drittland findet nur statt, soweit sie in § 6 vorgesehen ist oder der Auftraggeber sie anweist. Verpflichtet Unionsrecht oder mitgliedstaatliches Recht dammi zu einer Übermittlung, teilt dammi dies vorher mit, sofern das Recht die Mitteilung nicht verbietet.

Hinweispflichten von dammi an den Auftraggeber

Zwei Punkte, deren Einhaltung beim Auftraggeber liegt und auf die dammi ausdrücklich hinweist:

Standortdaten der Fahrer. Sie betreffen Beschäftigte. Der Auftraggeber braucht dafür eine eigene Rechtsgrundlage — § 26 BDSG oder eine Betriebsvereinbarung — und muss seine Fahrer informieren. Besteht ein Betriebsrat, ist die Einführung mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG). dammi kann diese Funktion auf Wunsch abschalten.

Einwilligung in Push-Nachrichten. Sie holt die App auf dem Gerät ein. Ob die Information dazu genügt, verantwortet der Auftraggeber als Verantwortlicher.

§ 4 Vertraulichkeit

*(Art. 28 Abs. 3 Satz 2 lit. b)*

(1) dammi setzt zur Verarbeitung nur Personen ein, die schriftlich zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.

(2) Zur Verarbeitung eingesetzt ist der Inhaber. Jede weitere Person — angestellt oder frei — wird vor dem ersten Zugriff verpflichtet. Die Verpflichtungserklärungen legt dammi auf Verlangen vor.

(3) dammi macht die eingesetzten Personen mit den Vorgaben dieses Vertrages vertraut.

§ 5 Technische und organisatorische Maßnahmen

*(Art. 28 Abs. 3 Satz 2 lit. c, Art. 32)*

(1) Die Maßnahmen sind in Anlage 1 am Ende dieses Vertrages beschrieben. Sie sind Vertragsbestandteil.

(2) Die Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen teilt dammi mit.

(3) Der Auftraggeber bestätigt, dass er Anlage 1 gelesen hat und die Maßnahmen für den Zweck der Verarbeitung als angemessen ansieht.

§ 6 Weitere Auftragsverarbeiter

*(Art. 28 Abs. 2 und 4)*

(1) Der Auftraggeber stimmt der Einschaltung der in Anlage 2 genannten Unterauftragsverarbeiter zu.

(2) Änderungen kündigt dammi mindestens dreißig Tage vorher in Textform an. Der Auftraggeber kann innerhalb von vierzehn Tagen aus wichtigem Grund widersprechen. Widerspricht er, und lässt sich keine Lösung finden, darf jede Seite den Hauptvertrag zum Zeitpunkt der Umstellung kündigen.

(3) dammi verpflichtet jeden Unterauftragsverarbeiter auf im Wesentlichen gleiche Pflichten und haftet für ihn wie für eigenes Handeln.

Anlage 2 — Die Unterauftragsverarbeiter

Zur Dateiablage: Unterschriften und Zustellfotos liegen in einem eigenen Speicher in Frankfurt (europe-west3). Artikel- und Kategoriebilder liegen in einem Speicher in den Vereinigten Staaten; personenbezogene Daten liegen dort nicht.

Stripe Payments Europe, Ltd. (Dublin, Irland) wickelt die Abrechnung zwischen dammi und dem Auftraggeber ab; für Zahlungen aus den Vereinigten Staaten gelten Standardvertragsklauseln. Stripe verarbeitet keine Daten der Kunden des Auftraggebers — über dammi findet zwischen Restaurant und Großhändler keine Zahlung statt.

Ausdrücklich: An Resend, Inc. geht der vollständige Inhalt jeder Bestellmail, also auch die bestellten Positionen und der Name des Bestellers. Auf Weisung des Auftraggebers setzt dammi stattdessen einen Versanddienst mit Sitz in der Europäischen Union ein.

Nicht Unterauftragsverarbeiter von dammi, sondern eigene Dienstleister des Auftraggebers, mit denen er selbst einen Vertrag hat: die Anbieter seiner Warenwirtschaft (etwa weclapp SE, deltra Software GmbH für orgaMAX, der Anbieter von Lexware Office, bexio AG). dammi übermittelt die Bestellungen dorthin auf Weisung des Auftraggebers.

§ 7 Unterstützung bei Betroffenenrechten

*(Art. 28 Abs. 3 Satz 2 lit. e)*

(1) Wendet sich eine betroffene Person an dammi, leitet dammi sie unverzüglich an den Auftraggeber weiter und antwortet nicht in der Sache. Der Auftraggeber ist der Verantwortliche; die Auskunft schuldet er.

(2) dammi unterstützt den Auftraggeber bei Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit — mit den Werkzeugen des Verwaltungsbereichs und, wo diese nicht reichen, von Hand.

(3) Antwortfrist gegenüber dem Auftraggeber: fünf Werktage, in dringenden Fällen unverzüglich. Diese Frist ist so bemessen, dass der Auftraggeber seine eigene Monatsfrist aus Art. 12 Abs. 3 halten kann.

(4) Ein Kunde kann sein Konto in der App selbst löschen; Bestellungen werden dabei anonymisiert und nicht gelöscht, weil § 257 HGB und § 147 AO das verlangen. Eine Datenauskunft als Datei kann jeder Kunde in der App selbst erzeugen; für den Auftraggeber stellt dammi sie auf Anfrage zusammen.

§ 8 Unterstützung bei Sicherheit und Meldepflichten

*(Art. 28 Abs. 3 Satz 2 lit. f, Art. 32–36)*

(1) dammi meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis (Art. 33 Abs. 2).

Diese Frist ist absichtlich kürzer als die 72 Stunden, die der Auftraggeber gegenüber der Aufsichtsbehörde hat — er braucht Zeit für seine eigene Meldung.

(2) Die Meldung enthält, soweit bekannt: was geschehen ist und wann, welche Kategorien und wie viele Betroffene und Datensätze, die wahrscheinlichen Folgen, die ergriffenen und vorgeschlagenen Maßnahmen und eine Kontaktstelle. Angaben, die zum Zeitpunkt der Meldung nicht vorliegen, reicht dammi nach.

(3) Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen obliegen dem Auftraggeber. dammi meldet nicht an seiner Stelle und stellt ihm alles zur Verfügung, was er dafür braucht.

(4) dammi unterstützt bei der Datenschutz-Folgenabschätzung (Art. 35) und bei einer vorherigen Konsultation (Art. 36), soweit die Informationen bei dammi liegen.

§ 9 Nachweise und Kontrollen

*(Art. 28 Abs. 3 Satz 2 lit. h)*

(1) dammi weist die Einhaltung nach — durch Anlage 1, durch die Nachweise der Unterauftragsverarbeiter (Google: ISO 27001, SOC 2, ISO 27018) und durch Auskunft auf Anfrage.

(2) Der Auftraggeber darf einmal jährlich und bei begründetem Anlass kontrollieren, mit vierzehn Tagen Vorlauf, während der Geschäftszeiten und ohne den Betrieb unangemessen zu stören. Er darf eine unabhängige Prüferin oder einen Prüfer beauftragen, sofern diese nicht mit dammi im Wettbewerb stehen und zur Verschwiegenheit verpflichtet sind.

(3) Eine Kontrolle darf nicht dazu führen, dass der Auftraggeber Daten anderer Auftraggeber sieht. dammi bereitet Nachweise so auf, dass die Trennung gewahrt bleibt.

§ 10 Löschung und Rückgabe

*(Art. 28 Abs. 3 Satz 2 lit. g)*

(1) Nach Ende des Hauptvertrags löscht dammi alle Daten des Auftraggebers oder gibt sie zurück — der Auftraggeber wählt, in Textform, innerhalb von dreißig Tagen nach Vertragsende. Trifft er keine Wahl, wird gelöscht.

(1a) Längere Aufbewahrung nur auf Weisung. Auf ausdrückliche Weisung des Auftraggebers, festgehalten in Textform, hebt dammi die Daten stattdessen bis zu zwölf Monate unverändert auf, damit der Auftraggeber den Betrieb ohne neuen Aufbau wiederaufnehmen kann. Der Auftraggeber kann diese Weisung jederzeit widerrufen; dann gilt Absatz 1 mit einer Frist von dreißig Tagen ab Widerruf.

(2) Die Herausgabe erfolgt in einem gängigen, maschinenlesbaren Format.

(3) Ausgenommen sind Daten, die dammi aufgrund gesetzlicher Pflicht aufbewahren muss. Sie werden gesperrt und nur zu diesem Zweck verarbeitet.

(4) Sicherungen laufen nach spätestens 98 Tagen aus. Ein gezieltes Entfernen einzelner Datensätze aus einer Sicherung ist technisch nicht möglich; sie werden nicht wiederhergestellt außer im Störungsfall.

(5) Die Löschung bestätigt dammi in Textform.

§ 11 Haftung und Sonstiges

(1) Es gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregeln des Hauptvertrags.

(2) Änderungen bedürfen der Textform.

(3) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

(4) Es gilt deutsches Recht. Gerichtsstand ist der Sitz von dammi, soweit zulässig.

(5) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag vor, soweit es um die Verarbeitung personenbezogener Daten geht.

(6) Rechtsnachfolge. dammi darf diesen Vertrag zusammen mit dem Hauptvertrag auf ein Unternehmen übertragen, das der Inhaber zur Fortführung desselben Geschäftsbetriebes gründet oder erwirbt — insbesondere im Zuge eines Wechsels der Rechtsform. dammi kündigt das mindestens sechs Wochen vorher in Textform an und weist dabei auf das Kündigungsrecht nach Satz 3 hin. Der Auftraggeber kann diesen Vertrag und den Hauptvertrag in diesem Fall zum Zeitpunkt des Übergangs kündigen. Die Pflichten aus diesem Vertrag gehen unverändert auf das übernehmende Unternehmen über; die technischen und organisatorischen Maßnahmen sinken dabei nicht.

§ 12 Ansprechpartner

Für Meldungen nach § 8 gilt ausschließlich die hier genannte E-Mail-Adresse. Sie wird werktags mindestens einmal täglich gelesen.

§ 13 Auftraggeber mit Sitz in Österreich oder der Schweiz

*(Dieser Paragraph gilt nur, soweit der Auftraggeber seinen Sitz außerhalb Deutschlands hat. Für deutsche Auftraggeber ist er ohne Bedeutung.)*

(1) Österreich. Die Datenschutz-Grundverordnung gilt unverändert. Zuständige Aufsichtsbehörde des Auftraggebers ist die Österreichische Datenschutzbehörde. Meldungen nach § 8 dieses Vertrages gehen unverändert an den Auftraggeber; die Meldung an seine Behörde obliegt ihm.

(2) Schweiz. Neben der Datenschutz-Grundverordnung ist auf die Verarbeitung das schweizerische Bundesgesetz über den Datenschutz (DSG) anwendbar. Die Parteien sind sich einig, dass

• die Begriffe „Verantwortlicher“ und „Auftragsverarbeiter“ in diesem

Vertrag den Begriffen „Verantwortlicher“ und „Auftragsbearbeiter“ des DSG entsprechen und „Verarbeiten“ dem „Bearbeiten“;

• zuständige Behörde des Auftraggebers der Eidgenössische Datenschutz-

und Öffentlichkeitsbeauftragte ist;

• die Meldefrist aus § 8 Abs. 1 dieses Vertrages — 24 Stunden nach

Kenntnis — auch für Meldungen nach dem DSG gilt und dessen Anforderung „möglichst rasch“ erfüllt;

• **der Auftraggeber der Einschaltung der in Anlage 2 genannten weiteren

Auftragsverarbeiter mit seiner Unterschrift unter diesen Vertrag ausdrücklich zustimmt.** Für jede Änderung gilt § 6 Abs. 2.

Anlage 1 — Technische und organisatorische Maßnahmen

Diese Anlage beschreibt die Maßnahmen nach Art. 32 DSGVO, die dammi für die Verarbeitung im Auftrag trifft. Sie werden fortlaufend weiterentwickelt; das Schutzniveau sinkt dabei nicht (§ 5 Abs. 2).

1 · Verschlüsselung und Pseudonymisierung

Auf dem Weg. Sämtliche Verbindungen laufen über TLS — Kunden-App, Verwaltungsbereich, Serverfunktionen, Datenbank. Unverschlüsselte Verbindungen nimmt keine Komponente an.

Im Ruhezustand. Datenbank, Dateiablage und Anmeldedienst verschlüsseln alles, was gespeichert wird, mit AES-256.

Zugangsdaten zu fremden Systemen. Die Zugänge zur Warenwirtschaft des Auftraggebers liegen mit AES-256-GCM verschlüsselt in der Datenbank. Das Verfahren erkennt zusätzlich jede Veränderung der verschlüsselten Daten. Der Schlüssel hat 256 Bit und liegt ausschließlich in einem getrennten Geheimnisspeicher (Google Secret Manager), nicht im Quelltext und nicht in der Datenbank.

Der Zugangsschlüssel zum Mailversand kommt ausschließlich aus dem Geheimnisspeicher. Ein Rückgriff auf einen in der Datenbank hinterlegten Wert ist ausgeschlossen.

Passwörter speichert der Anmeldedienst als nicht rückrechenbaren Wert (scrypt-Familie). Ein Klartextpasswort ist für dammi zu keinem Zeitpunkt sichtbar.

Pseudonymisierung. Das Löschungsprotokoll führt nur die ersten acht Zeichen einer Kontokennung. Bestellungen gelöschter Kunden werden anonymisiert weitergeführt, nicht gelöscht (§ 7 Abs. 4). Missbrauchszähler der Selbstanmeldung tragen keine Klartextadressen, sondern einen gekürzten SHA-256-Wert.

2 · Vertraulichkeit

2.1 Zutritt zu Räumen

dammi betreibt keine eigenen Server. Datenbank, Anmeldung, Dateiablage und Serverfunktionen laufen in Rechenzentren von Google innerhalb der Europäischen Union — Frankfurt, Berlin und Belgien; für den physischen Schutz gelten deren Nachweise (ISO 27001, SOC 2, ISO 27018). Keine Serverfunktion läuft außerhalb der Europäischen Union.

Die Dateiablage für Unterschriften und Zustellfotos liegt in Frankfurt. Artikel- und Kategoriebilder liegen in einem Speicher in den Vereinigten Staaten; personenbezogene Daten enthält er nicht.

Die Arbeitsplatzrechner des Betreibers sind verschlüsselt und passwortgeschützt.

2.2 Zugang zu Systemen

Erstzugang zum Verwaltungsbereich über einen Zugangscode: zehn Zeichen aus einem Alphabet von 32 Zeichen ohne die verwechselbaren I, O, 0 und 1, erzeugt aus kryptografisch sicherem Zufall. Der Code gilt 14 Tage und wird nach Gebrauch ungültig.

Begrenzung der Versuche. Registrierung und Passwortzurücksetzung: höchstens fünf Versuche je E-Mail-Adresse und zwanzig je IP-Adresse in fünfzehn Minuten — die IP-Grenze liegt höher, weil sich ein ganzer Betrieb eine Adresse teilt. Selbstanmeldung von Interessenten: drei je IP-Adresse und Stunde, zwei je E-Mail-Adresse und Tag, fünf je Domain und Tag. Die Zähler werden anhand der Absenderadresse geführt, die der Netzrand von Google setzt und die der Aufrufer nicht beeinflussen kann. Zähler der Registrierung werden nach 24 Stunden, die der Selbstanmeldung nach 30 Tagen automatisch entfernt.

Kostendeckel je Auftraggeber. Vorgänge, die Last auf der Warenwirtschaft des Auftraggebers oder Kosten bei dammi verursachen — Abgleiche, Importe, Preisabfragen — sind je Mandant und je Konto auf eine Zahl je Stunde begrenzt, die im normalen Betrieb nicht erreicht wird.

2.3 Zugriff auf Daten

Wer was sehen darf, entscheiden die Sicherheitsregeln der Datenbank und der Dateiablage — also der Server, nicht die App.

Der Betreiber kann zur Störungsbehebung technisch auf Inhaltsdaten zugreifen. Dieser Zugriff ist auf die in § 3 beschriebenen Weisungen beschränkt und in der Datenschutzerklärung für den Verwaltungsbereich offengelegt.

2.4 Trennung der Mandanten

Jeder Auftraggeber liegt in der Datenbank unter einem eigenen Mandantenpfad. Die Sicherheitsregeln prüfen bei jedem Zugriff die Mandantenzugehörigkeit des Kontos; ein Zugriff auf Daten eines fremden Mandanten wird abgewiesen. Die Regeln werden zusätzlich von außen mit echten Anmeldetoken geprüft.

Innerhalb eines Mandanten sind die Rollen aus 2.3 getrennt. Das Wurzeldokument eines Mandanten, aus dem die Kunden-App liest, ob Bestellungen angenommen werden, enthält ausschließlich Felder aus einer festgelegten Erlaubnisliste; Zugangsdaten und personenbezogene Daten der Kunden stehen dort nicht.

3 · Integrität

3.1 Serverseitige Prüfung

Preise werden auf dem Server neu berechnet; Beträge, welche die App mitschickt, werden verworfen. Mindestbestellwert, Verfügbarkeit und Mengenregeln werden serverseitig geprüft.

3.2 Eingabekontrolle

Vorgänge im Verwaltungsbereich werden protokolliert — Handlung, handelnde Person, Zeitpunkt und betroffener Datensatz — und nach 365 Tagen automatisch gelöscht. Dasselbe gilt für Vorgänge im Betreiberbereich. Bestellungen tragen ihren vollständigen Zustandsverlauf.

3.3 Zustellkontrolle

Jede Bestellmail gilt erst als versendet, wenn der Versanddienst eine Nachrichtenkennung zurückgibt. Fehlt sie oder meldet der Dienst einen Fehler, wird der Versand als Fehlschlag behandelt und die Bestellung entsprechend gekennzeichnet. Alle Sendestellen laufen über ein gemeinsames Modul; eine automatische Prüfung stellt sicher, dass keine Stelle daran vorbei sendet.

3.4 Überwachung

Die Wächter werden regelmäßig mit einer echten Prüfbestellung gegengeprüft (Abschnitt 5).

4 · Verfügbarkeit und Belastbarkeit

Sicherung. Sicherungen der Datenbank werden täglich automatisch erstellt und 98 Tage vorgehalten. Zusätzlich lässt sich der Stand eines beliebigen Zeitpunkts der letzten sieben Tage wiederherstellen. Die Datenbank trägt einen Löschschutz und lässt sich nicht versehentlich entfernen.

Ausfallsicherheit. Die Datenbank in Frankfurt liegt über mehrere Zonen. Serverfunktionen starten selbsttätig neu und skalieren mit der Last.

Lastentkopplung. Die Fahrer-Funktionen laufen in einer eigenen Region (Berlin) mit eigenem Kontingent, damit ihre Last die Bestellannahme nicht beeinträchtigt.

Ausrollen. Serverfunktionen werden einzeln benannt ausgerollt, nie gesammelt, und nicht während der üblichen Bestellzeiten. Änderungen am Bestellweg werden nach dem Ausrollen mit einer echten Prüfbestellung belegt.

5 · Regelmäßige Überprüfung

Automatische Prüfungen. Vor jeder Änderung läuft ein automatischer Prüflauf mit mehreren tausend Einzelprüfungen über Serverfunktionen, Verwaltungsbereich, Betreiberbereich und Kunden-App. Jede Prüfung hält fest, warum die geprüfte Regel gilt.

Prüfbestellung. Vor und nach jeder Änderung am Bestellweg wird eine echte Bestellung auf einem dafür vorgesehenen Mandanten durch das ganze System geschickt und ihr Weg nachgemessen.

Prüfungen von außen. Der Anmeldeweg, die Sicherheitsregeln (mit echten Anmeldetoken) und der Anteil verifizierter Anfragen werden regelmäßig von außerhalb der Plattform gemessen.

Missbrauchsabwehr in der Web-Fassung. Firebase App Check mit Google reCAPTCHA Enterprise stellt für die Web-Fassung Prüfmarken aus, die serverseitig ausgewertet werden.

Nachweise der Unterauftragsverarbeiter. Für die Rechenzentren gelten die Nachweise aus § 9 Abs. 1.

6 · Was der Auftraggeber bekommt

Auskunft, Berichtigung, Löschung. Der Auftraggeber kann jeden Kundendatensatz im Verwaltungsbereich einsehen und ändern. Die Löschung eines Kundenkontos leistet die Kunden-App selbst; auf Verlangen führt der Betreiber sie aus.

Herausgabe. Auf Verlangen erhält der Auftraggeber seine Daten in einem gängigen, maschinenlesbaren Format (§ 10 Abs. 2).

Löschung nach Vertragsende. Nach Wahl des Auftraggebers Löschung oder Rückgabe innerhalb von dreißig Tagen (§ 10). Sicherungen laufen nach spätestens 98 Tagen aus; ein gezieltes Löschen einzelner Datensätze aus einer Sicherung ist technisch nicht möglich.