Auftragsverarbeitung

Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO zwischen dem jeweiligen mikoprotect-Kunden („Verantwortlicher“) und der DIOMIKO UG (haftungsbeschränkt), Frankenbacher Str. 32, 74336 Brackenheim („Auftragsverarbeiter“). Dieser AVV wird Bestandteil des SaaS-Vertrags, sobald der Kunde mikoprotect zur Verarbeitung personenbezogener Daten in eigener Verantwortlichkeit nutzt. Stand: 22. September 2026.

1. Gegenstand und Dauer

Gegenstand ist die Bereitstellung, der Betrieb, die Sicherung und der Support der SaaS-Anwendung mikoprotect einschließlich der vom Verantwortlichen genutzten Funktionen. Die Auftragsverarbeitung dauert grundsätzlich für die Laufzeit des SaaS-Vertrags und endet mit Löschung oder Rückgabe der auftragsverarbeiteten personenbezogenen Daten, vorbehaltlich gesetzlicher Aufbewahrungspflichten.

2. Art und Zweck der Verarbeitung

Je nach Nutzung durch den Verantwortlichen umfasst die Verarbeitung insbesondere Erheben, Erfassen, Ordnen, Speichern, Abrufen, Anzeigen, Übermitteln innerhalb freigegebener Workflows, Dokumentieren, Sichern, Exportieren und Löschen. Zwecke sind insbesondere Datenschutzorganisation, Mandanten- und Ansprechpartnerverwaltung, Audits, Maßnahmenmanagement, VVT, TOM-Dokumentation, DSFA, Datenschutzvorfälle, Betroffenenanfragen, Behördenvorgänge, Tätigkeitsberichte, Dokumentenablage, Korrespondenzarchiv und Teamarbeit.

3. Arten personenbezogener Daten

Abhängig von den vom Verantwortlichen eingestellten Inhalten können insbesondere verarbeitet werden: Stamm- und Kontaktdaten; berufliche Kommunikationsdaten; Organisations- und Funktionsdaten; Benutzer- und Berechtigungsdaten; Audit- und Complianceangaben; Korrespondenz und Anhänge; Angaben zu Verarbeitungstätigkeiten und TOMs; Sachverhalte zu Datenschutzverletzungen, Betroffenenanfragen, DSFA und Behördenvorgängen; Protokoll- und Aktivitätsdaten. Der Verantwortliche entscheidet über Umfang und Inhalt.

4. Kategorien betroffener Personen

Insbesondere Beschäftigte und Ansprechpartner des Verantwortlichen und seiner Mandanten, Kunden, Interessenten, Lieferanten, Dienstleister, Bewerber, Betroffene von Datenschutzanfragen oder Datenschutzvorfällen sowie sonstige Personen, deren Daten der Verantwortliche im Rahmen seiner Datenschutzarbeit dokumentiert.

5. Besondere Kategorien und sensible Inhalte

Je nach konkretem Vorgang kann der Verantwortliche auch besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO oder Daten mit erhöhtem Schutzbedarf einstellen, etwa im Zusammenhang mit Betroffenenanfragen, Datenschutzvorfällen oder DSFA. Der Verantwortliche prüft vor der Eingabe, ob diese Verarbeitung erforderlich und rechtmäßig ist und beschränkt die Daten auf das notwendige Maß.

6. Weisungsbindung

DIOMIKO verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich hinsichtlich Übermittlungen in Drittländer, sofern keine gesetzliche Verpflichtung zu einer Verarbeitung besteht. In diesem Fall informiert DIOMIKO den Verantwortlichen vor der Verarbeitung über die rechtliche Anforderung, soweit dies gesetzlich zulässig ist. Die Nutzung der Plattform und ihre konfigurierbaren Funktionen gelten als dokumentierte Weisungen. Zusätzliche Weisungen können in Textform erteilt werden.

7. Vertraulichkeit

DIOMIKO stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und nur im erforderlichen Umfang Zugriff erhalten.

8. Sicherheit der Verarbeitung

DIOMIKO trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die aktuell vorgesehenen Maßnahmen sind in Anlage 1 beschrieben.

9. Unterstützung des Verantwortlichen

DIOMIKO unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen angemessen bei der Erfüllung von Betroffenenrechten sowie der Pflichten nach Art. 32 bis 36 DSGVO. Anfragen, die erkennbar Daten des Verantwortlichen betreffen und unmittelbar bei DIOMIKO eingehen, werden nicht eigenständig fachlich beantwortet, sondern an den Verantwortlichen weitergeleitet, soweit keine eigene gesetzliche Pflicht besteht.

10. Datenschutzverletzungen

DIOMIKO informiert den Verantwortlichen unverzüglich, nachdem eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit diese die im Auftrag verarbeiteten Daten betrifft. Die Mitteilung enthält die DIOMIKO verfügbaren Informationen, die der Verantwortliche für seine Pflichten nach Art. 33 und 34 DSGVO benötigt. Informationen können schrittweise ergänzt werden.

11. Kontrollen und Nachweise

DIOMIKO stellt dem Verantwortlichen die zur Darlegung der Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen. Prüfungen sind unter Wahrung von Geschäftsgeheimnissen, Sicherheit und Rechten anderer Kunden mit angemessener Vorankündigung während üblicher Geschäftszeiten durchzuführen. Vorrangig können aktuelle Dokumentationen, Nachweise und standardisierte Auskünfte verwendet werden. Unverhältnismäßiger Zusatzaufwand kann nach vorheriger Abstimmung berechnet werden, soweit die Prüfung nicht auf einem von DIOMIKO zu vertretenden Verstoß beruht.

12. Löschung und Rückgabe

Nach Ende der Auftragsverarbeitung löscht oder gibt DIOMIKO nach Wahl des Verantwortlichen die im Auftrag verarbeiteten personenbezogenen Daten zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Technisch bedingte Sicherungskopien werden im Rahmen des regulären Sicherungs- und Überschreibzyklus gelöscht und bis dahin nicht für andere Zwecke verarbeitet.

13. Unterauftragsverarbeiter

Der Verantwortliche erteilt DIOMIKO die allgemeine Genehmigung zum Einsatz der nachfolgend aufgeführten Unterauftragsverarbeiter. DIOMIKO informiert über beabsichtigte Änderungen mit angemessener Vorlaufzeit, sodass der Verantwortliche aus wichtigen datenschutzrechtlichen Gründen widersprechen kann.

Hinweis: Stripe wird für die Vertrags- und Zahlungsabwicklung zwischen DIOMIKO und dem mikoprotect-Kunden eingesetzt. Stripe erhält nach dem geprüften Softwarestand nicht die vom Kunden in mikoprotect eingestellten Datenschutzakten und wird daher nicht als Unterauftragsverarbeiter dieser Auftragsverarbeitung geführt.

14. Drittlandübermittlungen

DIOMIKO nimmt im Rahmen der Kernplattform keine Drittlandübermittlung von Kundeninhalten ohne Weisung bzw. geeignete Garantie nach Kapitel V DSGVO vor. Werden künftig weitere Unterauftragsverarbeiter mit Drittlandbezug eingesetzt, stellt DIOMIKO vor Einsatz die erforderliche Rechtsgrundlage und Garantien sicher und aktualisiert die Unterauftragsverarbeiterinformation.

15. Verantwortlichkeit des Kunden

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, die Wahrung der Betroffenenrechte, die Datenminimierung, die Vergabe eigener Benutzerberechtigungen und die Rechtmäßigkeit der an mikoprotect übermittelten Daten verantwortlich. DIOMIKO weist den Verantwortlichen unverzüglich darauf hin, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

16. Rangfolge

Bei Widersprüchen zwischen diesem AVV und den AGB gehen für Fragen der Auftragsverarbeitung die Regelungen dieses AVV vor. Im Übrigen bleibt der SaaS-Vertrag unberührt.

Anlage 1 – Technische und organisatorische Maßnahmen

Zutritts- und Infrastrukturkontrolle

Betrieb der Plattform auf professioneller IONOS-Hostinginfrastruktur; administrative Server- und Hostingzugänge werden auf berechtigte Personen beschränkt.

Zugangskontrolle

Personalisierte Benutzerkonten; Passwörter werden mit PHP PASSWORD_DEFAULT gehasht; sichere Session-Cookies mit HttpOnly, Secure im Produktivbetrieb und SameSite=Lax; Sitzungsregeneration bei Anmeldung; Passwort-Reset über zufällige, zeitlich begrenzte Token.

Zugriffskontrolle und Mandantentrennung

Rollen- und Berechtigungssystem; Datenbankabfragen sind organisationsbezogen; Benutzer werden einer Organisation zugeordnet. Externe Ansprechpartner erhalten keine allgemeinen Portalkonten, sondern zweckgebundene, widerrufbare und/oder zeitlich begrenzte Token-Zugänge auf freigegebene Vorgänge.

Übertragungskontrolle

Produktivbetrieb ausschließlich über HTTPS; SMTP-Kommunikation mit STARTTLS und IMAP-Abruf über SSL/TLS; keine Übermittlung von Kundeninhalten an externe KI-Dienste im aktuell vorgesehenen Produktivstand.

Eingabe- und Nachvollziehbarkeitskontrolle

Aktivitäts-/Audit-Log für wesentliche fachliche Aktionen; Zuordnung zu Organisation, Benutzer, Aktion, Objekt und Zeitpunkt; dokumentierte Bearbeitungsstände in den Fachmodulen.

Integrität und Anwendungssicherheit

CSRF-Schutz für schreibende Portalaktionen; kryptografisch zufällige Token; Hashing externer Zugriffstoken in der Datenbank; serverseitige Validierung; parametrisierte Datenbankabfragen; HTTPS-Erzwingung im Produktivbetrieb.

Verfügbarkeitskontrolle

Regelmäßige Datenbanksicherungen im privaten, nicht öffentlich ausgelieferten Speicherbereich; SHA-256-Prüfsummen; automatisierte Rotation älterer Sicherungen nach dem konfigurierten Sicherungskonzept; Statusüberwachung für Hintergrundjobs.

Trennungsgebot

Logische Trennung der Kundenorganisationen über organization_id und organisationsbezogene Berechtigungen. Produktiv-, Konfigurations- und Zugangsdaten werden getrennt vom öffentlich ausgelieferten Webinhalt gehalten, soweit die Hostingstruktur dies vorsieht.

Datenschutzfreundliche Organisation

Prinzip der Datenminimierung in externen Workflows; rollenbasierte Freigaben; Widerrufsmöglichkeiten für Delegationen; keine werbliche Nutzung von Kundeninhalten; keine Nutzung von Kundeninhalten zum Training externer KI-Modelle.