Auftragsverarbeitungsvertrag

Artikel 1 – Parteien und Anwendungsbereich

1.1. Der Auftragsverarbeiter

Digital Change Management Services BV, handelnd unter dem Handelsnamen Anonimize, eine Gesellschaft belgischen Rechts mit Gesellschaftssitz in 3300 Tienen, Belgien, eingetragen in der Zentralen Datenbank der Unternehmen unter der Nummer 0798.754.517 (BE 0798.754.517), nachfolgend „Anonimize“ oder „Auftragsverarbeiter“ genannt.

Kontaktadresse: info@anonimize.eu

1.2. Der Kunde

Die natürliche oder juristische Person, die im eigenen Namen oder im Namen ihrer Organisation Anonimize nutzt und die Zwecke und wesentlichen Mittel der Verarbeitung festlegt, nachfolgend „Verantwortlicher“ oder „Kunde“ genannt.

Handelt der Kunde selbst als Auftragsverarbeiter im Auftrag eines Dritten, gilt dieser Vertrag gemäß den einschlägigen Bestimmungen auch für Anonimize als Unterauftragsverarbeiter.

1.3. Anwendbarkeit

Dieser Auftragsverarbeitungsvertrag, nachfolgend „AVV“, ist fester Bestandteil des Vertrags zwischen Anonimize und dem Kunden über die Nutzung der Anonimize-Plattform.

Dieser AVV gilt, soweit Anonimize personenbezogene Daten im Auftrag des Kunden verarbeitet.

1.4. Annahme

Dieser AVV kann beim Abschluss der Dienstleistung, als Teil eines schriftlichen Vertrags oder über ein gesondertes Annahmeverfahren elektronisch angenommen werden.

Die elektronische Annahme hat gemäß den anwendbaren Rechtsvorschriften dieselbe vertragliche Wirkung wie eine schriftliche Annahme.

1.5. Vorrang

Bei Widersprüchen zwischen diesem AVV und den Allgemeinen Geschäftsbedingungen von Anonimize hat dieser AVV Vorrang für Angelegenheiten, die die Verarbeitung personenbezogener Daten im Auftrag des Kunden betreffen.

Zwingende Bestimmungen der DSGVO haben stets Vorrang.

Artikel 2 – Begriffsbestimmungen

Für diesen AVV gelten die Begriffsbestimmungen der Verordnung (EU) 2016/679, nachfolgend die DSGVO.

Ergänzend bezeichnet:

Plattform: die von Anonimize angebotene SaaS-Anwendung, APIs und zugehörigen Softwarefunktionen.

Kundendaten: alle Informationen, die vom Kunden oder in seinem Namen über die Plattform bereitgestellt, verarbeitet oder gespeichert werden.

Personenbezogene Daten: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, gemäß Artikel 4 Nr. 1 DSGVO.

Verarbeitung: jeder Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, wie Erheben, Abfragen, Analysieren, Speichern, Verändern, Anonymisieren, Pseudonymisieren, Offenlegen, Exportieren oder Löschen.

Unterauftragsverarbeiter: ein Dritter, den Anonimize einsetzt, um im Auftrag des Kunden personenbezogene Daten zu verarbeiten.

Datenschutzverletzung: eine Verletzung des Schutzes personenbezogener Daten im Sinne von Artikel 4 Nr. 12 DSGVO.

Technische und organisatorische Maßnahmen (TOM): die Sicherheitsmaßnahmen, mit denen Anonimize die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitung schützt.

Wiederherstellungsschlüssel: Informationen, mit denen pseudonymisierte Werte den ursprünglichen Daten zugeordnet werden können.

Artikel 3 – Gegenstand, Art und Zweck der Verarbeitung

3.1. Anonimize verarbeitet personenbezogene Daten ausschließlich zur Erbringung der vereinbarten Dienstleistung und auf der Grundlage der dokumentierten Weisungen des Kunden, sofern eine anwendbare gesetzliche Pflicht nichts anderes verlangt.

3.2. Die Verarbeitung kann sich je nach den genutzten Funktionen unter anderem beziehen auf:

Das Empfangen und vorübergehende Verarbeiten von Dokumenten, Bildern und Texten.
Die Durchführung von OCR, Textextraktion und automatisierter Erkennung.
Das Identifizieren und Ersetzen personenbezogener Daten.
Das Anonymisieren und Pseudonymisieren von Informationen.
Das Erstellen und Verwalten von Identitätsbibliotheken und Wiederherstellungsschlüsseln.
Das Speichern und Verwalten von Verarbeitungsergebnissen.
Die Durchführung von Dokumentprüfungen, Korrekturen und Freigabeprozessen.
Die Wiederherstellung pseudonymisierter Informationen.
Die Verwaltung von Projekten, Arbeitsbereichen und Benutzerrechten.
Die Ausführung autorisierter API-Anfragen und Cloudintegrationen.
Die Wartung, Absicherung und technische Unterstützung der Dienstleistung.

3.3. Anonimize legt nicht eigenständig die Zwecke fest, zu denen der Kunde personenbezogene Daten bereitstellt oder die endgültigen Ergebnisse verwendet.

3.4. Die konkreten Merkmale der Verarbeitung, darunter die Kategorien personenbezogener Daten, betroffene Personen, Zwecke und Aufbewahrungsfristen, sind in Anhang I – Beschreibung der Verarbeitung aufgeführt.

3.5. Die Verarbeitung dauert so lange, wie Anonimize im Rahmen der Dienstleistung personenbezogene Daten im Auftrag des Kunden verarbeitet, einschließlich der anwendbaren Export-, Lösch- und gesetzlich vorgeschriebenen Aufbewahrungsphasen.

Artikel 4 – Rollen und Verantwortlichkeiten

4.1. Verantwortlichkeiten des Kunden

Der Kunde ist verantwortlich für:

a. Die Festlegung der Zwecke und Rechtsgrundlagen der Verarbeitung.

b. Die Beurteilung der Notwendigkeit, Verhältnismäßigkeit und Rechtmäßigkeit der Verarbeitung.

c. Die Information der betroffenen Personen, wenn die DSGVO dies verlangt.

d. Die Einhaltung gesetzlicher Aufbewahrungsfristen.

e. Die Beurteilung der Eignung der Plattform für die betreffenden Datenkategorien.

f. Die Organisation angemessener Prüfungen anonymisierter und pseudonymisierter Ergebnisse.

g. Die Verwaltung der Zugriffsrechte seiner Nutzer.

h. Die Beurteilung, ob eine Datenschutz-Folgenabschätzung erforderlich ist.

4.2. Der Kunde garantiert, dass er berechtigt ist, die betreffenden personenbezogenen Daten von Anonimize verarbeiten zu lassen.

4.3. Handelt der Kunde als Auftragsverarbeiter im Auftrag eines anderen Verantwortlichen, garantiert er, dass er befugt ist, Anonimize als Unterauftragsverarbeiter einzusetzen, und dass die einschlägigen Weisungen rechtsgültig an Anonimize weitergegeben werden können.

4.4. Verantwortlichkeiten von Anonimize

Anonimize verpflichtet sich:

a. Personenbezogene Daten ausschließlich nach dokumentierten Weisungen zu verarbeiten.

b. Geeignete technische und organisatorische Sicherheitsmaßnahmen zu treffen.

c. Die Vertraulichkeit personenbezogener Daten zu gewährleisten.

d. Die Bedingungen für Unterauftragsverarbeiter einzuhalten.

e. Den Kunden bei den gesetzlichen Pflichten gemäß diesem AVV zu unterstützen.

f. Personenbezogene Daten nach Beendigung gemäß Artikel 15 zu löschen oder zurückzugeben.

g. Die erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung zu stellen.

4.5. Anonimize darf geeignete nicht wesentliche technische und organisatorische Mittel für die Erbringung der Dienstleistung festlegen, solange dies keine unzulässige Änderung der Verarbeitungszwecke bedeutet.

4.6. Anonimize kann für eigene Zwecke als eigenständiger Verantwortlicher handeln, unter anderem für die notwendige Kontenverwaltung, Rechnungsstellung, Vertragsverwaltung und Geschäftskommunikation. Diese eigenständigen Verarbeitungen fallen unter die Datenschutzerklärung und nicht unter die Weisungsbefugnis des Kunden aus diesem AVV.

Artikel 5 – Dokumentierte Weisungen

5.1. Anonimize verarbeitet personenbezogene Daten ausschließlich auf der Grundlage dokumentierter Weisungen des Kunden, auch bei etwaigen internationalen Übermittlungen.

5.2. Als dokumentierte Weisungen gelten unter anderem:

Dieser AVV und der zugehörige Vertrag.
Von befugten Nutzern gewählte Verarbeitungseinstellungen.
Uploads und Verarbeitungsanfragen.
Weisungen über die API oder autorisierte Integrationen.
Einstellungen für Speicherung, Aufbewahrungsfristen und Benutzerrechte.
Schriftliche Weisungen eines dazu befugten Vertreters des Kunden.

5.3. Weisungen müssen im Rahmen der vereinbarten Dienstleistung liegen und technisch durchführbar sein.

5.4. Verstößt eine Weisung nach vernünftiger Beurteilung von Anonimize gegen die DSGVO oder andere anwendbare Datenschutzvorschriften, informiert Anonimize den Kunden unverzüglich darüber.

5.5. Anonimize darf die Ausführung einer solchen Weisung aussetzen, bis sie geklärt oder angepasst wurde, soweit dies erforderlich ist, um eine möglicherweise rechtswidrige Verarbeitung zu vermeiden.

5.6. Erfordert eine Weisung zusätzliche Entwicklung, außergewöhnliche technische Unterstützung oder Arbeiten außerhalb der normalen Dienstleistung, können die Parteien dafür im Voraus eine gesonderte Vergütung vereinbaren.

5.7. Anonimize ist nicht verpflichtet, eine Weisung auszuführen, die technisch unmöglich, rechtswidrig oder mit einer anwendbaren gesetzlichen Pflicht unvereinbar ist.

5.8. Ist Anonimize nach dem Unionsrecht oder dem anwendbaren Recht eines Mitgliedstaats verpflichtet, personenbezogene Daten außerhalb der Weisungen des Kunden zu verarbeiten, teilt sie dem Kunden diese rechtliche Verpflichtung vorab mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Artikel 6 – Vertraulichkeit

6.1. Anonimize behandelt die personenbezogenen Daten, die sie im Auftrag des Kunden verarbeitet, als streng vertraulich.

6.2. Der Zugriff auf personenbezogene Daten wird auf Personen beschränkt, die diese Daten für die Erfüllung ihrer Aufgaben vernünftigerweise benötigen.

6.3. Anonimize stellt sicher, dass befugte Mitarbeiter und andere ihr unterstellte Personen angemessenen vertraglichen oder gesetzlichen Geheimhaltungspflichten unterliegen.

6.4. Personenbezogene Daten dürfen nicht außerhalb der Zwecke der vereinbarten Verarbeitung abgefragt, kopiert, weitergegeben oder verwendet werden, es sei denn, dies ist gesetzlich vorgeschrieben oder vom Kunden rechtsgültig angewiesen.

6.5. Anonimize darf personenbezogene Daten nur befugten Mitarbeitern, zugelassenen Unterauftragsverarbeitern oder anderen Parteien zugänglich machen, wenn dafür eine gültige Weisung oder Rechtsgrundlage besteht.

6.6. Die Vertraulichkeitspflichten gelten nach Beendigung dieses AVV fort, solange personenbezogene Daten oder andere geschützte vertrauliche Informationen rechtmäßig bei Anonimize vorhanden sind. Gesetzliche Geheimhaltungspflichten gelten uneingeschränkt weiter.

Artikel 7 – Technische und organisatorische Sicherheit

7.1. Anonimize trifft geeignete technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO.

7.2. Bei der Festlegung dieser Maßnahmen werden berücksichtigt:

Der Stand der Technik.
Die Implementierungskosten.
Art, Umfang, Umstände und Zwecke der Verarbeitung.
Die Eintrittswahrscheinlichkeit und Schwere der Risiken für die betroffenen Personen.

7.3. Die Maßnahmen sind in Anhang II – Technische und organisatorische Sicherheitsmaßnahmen näher beschrieben.

7.4. Anonimize gewährleistet ein Sicherheitsniveau, das den Risiken der vereinbarten Verarbeitung angemessen ist. Dies umfasst, soweit angemessen, Verschlüsselung, Zugriffskontrolle, Sicherheitsüberwachung, Wiederherstellungsvorkehrungen und eine regelmäßige Bewertung der Wirksamkeit der Maßnahmen.

7.5. Anonimize darf die verwendeten Sicherheitstechniken anpassen, um neue Technologien, Sicherheitserkenntnisse oder Risiken zu berücksichtigen, sofern das allgemeine Schutzniveau nicht wesentlich verringert wird.

7.6. Der Kunde bleibt für die Sicherheit seiner eigenen Konten, Geräte, Netzwerke, Benutzereinstellungen und Systeme verantwortlich, mit denen die Plattform genutzt wird.

7.7. Verwaltet der Kunde einen eigenen Verschlüsselungsschlüssel, ist er für die sichere Aufbewahrung, die Zugriffskontrolle und die Verfügbarkeit dieses Schlüssels verantwortlich.

7.8. Anonimize kann nicht zu einer technisch unmöglichen Datenwiederherstellung verpflichtet werden, wenn ein ausschließlich vom Kunden verwalteter und bei Anonimize nicht verfügbarer Entschlüsselungsschlüssel verloren gegangen ist.

7.9. Die Sicherheitspflichten von Anonimize gelten auch bei Nutzung kundengesteuerter Verschlüsselung für die Verarbeitungen und Systeme, für die Anonimize selbst verantwortlich ist.

Artikel 8 – Unterauftragsverarbeiter

8.1. Der Kunde erteilt Anonimize unter Beachtung dieses Artikels eine allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter einzusetzen, soweit dies für die vereinbarte Dienstleistung erforderlich ist.

8.2. Die bei Annahme dieses AVV genehmigten Unterauftragsverarbeiter und ihre jeweiligen Verarbeitungsaufgaben sind in Anhang III – Verzeichnis der Unterauftragsverarbeiter aufgeführt.

8.3. Anonimize wird mit jedem Unterauftragsverarbeiter, der im Auftrag des Kunden personenbezogene Daten verarbeitet, einen rechtlich bindenden Vertrag schließen, der mindestens dieselben materiellen Datenschutzpflichten wie dieser AVV auferlegt, soweit sie für die betreffende Verarbeitung relevant sind.

8.4. Anonimize informiert den Kunden mindestens dreißig Kalendertage im Voraus über eine beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, es sei denn, außergewöhnliche Umstände machen eine kürzere Frist erforderlich und dies ist gesetzlich zulässig.

8.5. Die Mitteilung enthält mindestens die Identität des betreffenden Unterauftragsverarbeiters, die Art der Verarbeitung und die relevanten Verarbeitungsorte.

8.6. Der Kunde kann binnen fünfzehn Kalendertagen nach Eingang schriftlich und begründet Einspruch erheben, gestützt auf konkrete Risiken für den Datenschutz oder einen nachweislichen Widerspruch zu anwendbaren gesetzlichen Pflichten.

8.7. Bei einem solchen Einspruch prüfen die Parteien nach Treu und Glauben, ob geeignete Garantien oder eine angemessene Alternative verfügbar sind.

8.8. Ist keine angemessene Lösung möglich, kann der Kunde die betreffende Dienstleistung vor dem Einsatz des neuen Unterauftragsverarbeiters ohne zusätzliche Beendigungsgebühr beenden. Etwaige im Voraus gezahlte Entgelte für dadurch nicht mehr zu erbringende Leistungen werden anteilig erstattet, soweit dies gesetzlich oder vertraglich geschuldet ist.

8.9. Anonimize darf Unterauftragsverarbeiter ersetzen, wenn dies für Sicherheit, Kontinuität oder die Einhaltung gesetzlicher Vorschriften erforderlich ist, unter Wahrung der anwendbaren Informations- und Einspruchsrechte des Kunden.

8.10. Der Kunde kann die aktuelle Liste der Unterauftragsverarbeiter über die dafür bereitgestellte Dokumentation einsehen oder sie über info@anonimize.eu anfordern.

8.11. Cloudspeicher- und Identitätsdienste, mit denen sich der Kunde unmittelbar über sein eigenes Konto oder seinen eigenen Vertrag verbindet, sind nicht notwendigerweise Unterauftragsverarbeiter von Anonimize. Ihre Stellung und Verantwortlichkeiten bestimmen sich nach der tatsächlichen Rollenverteilung und den anwendbaren Verträgen.

Artikel 9 – Übermittlungen außerhalb des Europäischen Wirtschaftsraums

9.1. Anonimize wird personenbezogene Daten nur dann außerhalb des Europäischen Wirtschaftsraums (EWR) übermitteln, wenn dafür eine gültige dokumentierte Weisung besteht oder eine anwendbare gesetzliche Pflicht gilt und die Übermittlung Kapitel V DSGVO entspricht.

9.2. Der Kunde wird über relevante strukturelle internationale Übermittlungen im Zusammenhang mit genehmigten Unterauftragsverarbeitern informiert.

9.3. Weist der Kunde über eine eigene Integration an, Daten an einen externen Dienst weiterzuleiten, ist er für die Rechtmäßigkeit seiner Weisung und für seine eigenen Pflichten gegenüber diesem externen Empfänger verantwortlich.

9.4. Eine spezifische vertragliche Garantie, dass Daten ausschließlich innerhalb des EWR verarbeitet werden, gilt, wenn sie ausdrücklich vereinbart wurde und von der betreffenden Dienstkonfiguration technisch unterstützt wird.

Artikel 10 – Anträge betroffener Personen

10.1. Anonimize unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und soweit technisch möglich in angemessener Weise bei der Beantwortung von Anträgen betroffener Personen.

10.2. Diese Unterstützung kann sich beziehen auf:

Auskunft über personenbezogene Daten.
Berichtigung personenbezogener Daten.
Löschung personenbezogener Daten.
Einschränkung der Verarbeitung.
Übertragbarkeit personenbezogener Daten.
Widerspruch gegen die Verarbeitung.
Andere anwendbare Rechte nach der DSGVO.

10.3. Erhält Anonimize unmittelbar einen Antrag, der personenbezogene Daten betrifft, die sie ausschließlich im Auftrag des Kunden verarbeitet, leitet sie ihn ohne unangemessene Verzögerung an den Kunden weiter, sofern dies nicht gesetzlich verboten ist.

10.4. Anonimize wird solche Anträge ohne Weisung nicht eigenständig inhaltlich bearbeiten, es sei denn, sie ist gesetzlich dazu verpflichtet.

10.5. Der Kunde bleibt für die Beurteilung der Identität, der Zulässigkeit und der rechtlichen Begründetheit von Anträgen verantwortlich.

10.6. Anonimize kann für umfangreiche oder außergewöhnliche Unterstützungsanfragen außerhalb der normalen Funktionen eine angemessene, im Voraus vereinbarte Vergütung berechnen.

Artikel 11 – Datenschutzverletzungen und Sicherheitsvorfälle

11.1. Anonimize verfügt über ein Verfahren zur Erkennung, Untersuchung und Behandlung von Sicherheitsvorfällen, die die Verarbeitung personenbezogener Daten betreffen.

11.2. Erlangt Anonimize Kenntnis von einer Verletzung des Schutzes personenbezogener Daten, die sie im Auftrag des Kunden verarbeitet, informiert sie den Kunden darüber ohne unangemessene Verzögerung. Nach Möglichkeit erfolgt die erste Meldung binnen 48 Stunden nach Kenntnisnahme.

11.3. Die erste Meldung enthält, soweit zu diesem Zeitpunkt verfügbar:

a. Eine Beschreibung der Art der Verletzung.

b. Die vermutlich betroffenen Kategorien personenbezogener Daten.

c. Die vermutlich betroffenen Kategorien betroffener Personen.

d. Die bekannten oder wahrscheinlichen Folgen.

e. Die ergriffenen oder vorgeschlagenen Maßnahmen.

f. Eine Anlaufstelle für die weitere Bearbeitung.

11.4. Sind noch nicht alle Informationen verfügbar, darf Anonimize sie schrittweise entsprechend dem Fortgang der Untersuchung bereitstellen.

11.5. Anonimize ergreift geeignete Maßnahmen, um die Verletzung einzudämmen, ihre Folgen zu begrenzen und eine Wiederholung verhindern zu helfen.

11.6. Der Kunde bleibt als Verantwortlicher für die Beurteilung und Erfüllung etwaiger gesetzlicher Meldepflichten gegenüber Aufsichtsbehörden und betroffenen Personen verantwortlich.

11.7. Anonimize leistet bei solchen Meldungen angemessene Unterstützung und stellt relevante verfügbare Informationen bereit.

11.8. Eine Meldung durch Anonimize stellt für sich genommen kein Anerkenntnis einer vertraglichen Haftung oder eines Verschuldens dar.

Artikel 12 – Unterstützung bei der Einhaltung und DSFA

12.1. Anonimize unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Artikel 32 bis 36 DSGVO.

12.2. Diese Unterstützung umfasst, soweit relevant:

Die Bereitstellung von Informationen über Sicherheitsmaßnahmen.
Die Unterstützung bei der Untersuchung von Datenschutzverletzungen.
Die Bereitstellung technischer Informationen für eine Datenschutz-Folgenabschätzung (DSFA).
Die Unterstützung bei einer vorherigen Konsultation einer Aufsichtsbehörde.
Die Bereitstellung von Informationen über Datenflüsse, Verarbeitungsorte und Unterauftragsverarbeiter.

12.3. Der Kunde bleibt für die rechtliche Beurteilung seiner Verarbeitung verantwortlich sowie für die Entscheidung, ob eine DSFA oder eine vorherige Konsultation erforderlich ist.

12.4. Anonimize ist nicht verpflichtet, im Rahmen eines Standardabonnements gesonderte Rechtsberatung, individuelle Beurteilungen oder neue Softwarefunktionen zu entwickeln.

12.5. Für umfangreiche Unterstützung außerhalb der regulären Dienstleistung können die Parteien im Voraus eine angemessene Vergütung vereinbaren.

Artikel 13 – Kontrolle und Audits

13.1. Anonimize stellt die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Artikel 28 DSGVO nachzuweisen.

13.2. Der Kunde oder ein von ihm beauftragter unabhängiger Prüfer hat das Recht, Audits und Inspektionen durchzuführen, und Anonimize hat daran gemäß Artikel 28 Absatz 3 Buchstabe h DSGVO mitzuwirken.

13.3. Die Parteien bemühen sich, Audits effizient und verhältnismäßig zu organisieren. Grundsätzlich wird die folgende Reihenfolge angewendet:

a. Verfügbare Sicherheitsdokumentation und Beschreibungen der Maßnahmen.

b. Schriftliche Fragebögen und ergänzende Nachweise.

c. Interviews oder Fernprüfungen.

d. Ein Audit vor Ort oder ein tiefergehendes technisches Audit, wenn dies vernünftigerweise erforderlich ist.

13.4. Ein reguläres Audit wird vorzugsweise mindestens dreißig Kalendertage im Voraus angekündigt und während der üblichen Geschäftszeiten durchgeführt.

13.5. Grundsätzlich ist höchstens ein reguläres Audit je Zeitraum von zwölf Monaten vorgesehen.

13.6. Audits dürfen die Vertraulichkeit der Daten anderer Kunden, die Sicherheit der Plattform oder geschützte Geschäftsgeheimnisse nicht unnötig gefährden.

13.7. Anonimize darf geeignete alternative Nachweise bereitstellen oder Schutzmaßnahmen anwenden, wenn eine unmittelbare Einsicht in bestimmte Informationen Risiken verursachen würde.

13.8. Ein externer Prüfer muss hinreichend unabhängig und sachkundig sein und angemessene Geheimhaltungspflichten einhalten.

13.9. Der Kunde trägt grundsätzlich die Kosten eines von ihm veranlassten zusätzlichen Audits.

Artikel 14 – Verzeichnis und Dokumentation

14.1. Anonimize führt, soweit Artikel 30 DSGVO dies verlangt, ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten, die sie im Auftrag von Verantwortlichen durchführt.

14.2. Anonimize dokumentiert die relevanten technischen und organisatorischen Maßnahmen, den Einsatz von Unterauftragsverarbeitern und die Verfahren für Sicherheitsvorfälle.

14.3. Der Kunde kann die für seine eigene Rechenschaftspflicht vernünftigerweise erforderlichen Informationen über die Verarbeitung anfordern.

14.4. Anonimize darf bei der Bereitstellung von Dokumentation vertrauliche Daten anderer Kunden, sicherheitsrelevante Informationen und Geschäftsgeheimnisse schützen, sofern dies die Einhaltung von Artikel 28 DSGVO nicht verhindert.

Artikel 15 – Rückgabe, Export und Löschung personenbezogener Daten

15.1. Nach dem Ende der Dienstleistung wird Anonimize nach Wahl des Kunden die personenbezogenen Daten, die sie im Auftrag des Kunden verarbeitet, löschen oder an den Kunden zurückgeben, sofern nicht nach dem Unionsrecht oder dem anwendbaren Recht eines Mitgliedstaats eine weitere Speicherung erforderlich ist.

15.2. Der Kunde kann verfügbare Daten und Ergebnisse während der Dienstleistung über die dafür vorgesehenen Funktionen exportieren.

15.3. Für Export und Anbieterwechsel gelten die einschlägigen Bestimmungen der Allgemeinen Geschäftsbedingungen, darunter die anwendbaren Regeln des EU Data Act.

15.4. Der Kunde muss Wiederherstellungsschlüssel und andere für die Wiederherstellung erforderliche Informationen rechtzeitig aufbewahren oder exportieren.

15.5. Erteilt der Kunde keine gesonderte Weisung, löscht Anonimize die Daten nach Beendigung nach Ablauf der anwendbaren vertraglichen oder gesetzlichen Export- und Abruffrist.

15.6. Die Löschung aus aktiven Systemen erfolgt ohne unangemessene Verzögerung gemäß dem anwendbaren technischen Löschverfahren.

15.7. Daten in Backups werden gemäß dem vorab bekannt gegebenen Aufbewahrungszyklus für Backups gelöscht oder früher, wenn dies technisch möglich ist.

15.8. Solange gelöschte Daten noch vorübergehend in abgeschirmten Backups vorhanden sind, werden sie nicht für reguläre betriebliche Zwecke wieder verfügbar gemacht oder verarbeitet, außer soweit dies für Wiederherstellung, Sicherheit oder die Einhaltung gesetzlicher Vorschriften erforderlich ist.

15.9. Ist eine gesetzlich vorgeschriebene Aufbewahrung erforderlich, werden die betreffenden Daten geschützt und nur verarbeitet, soweit diese gesetzliche Pflicht es verlangt.

15.10. Anonimize bestätigt auf angemessene Anfrage die Ausführung eines Löschauftrags unter Berücksichtigung des technischen Löschzyklus.

15.11. Der Kunde erkennt an, dass bereits rechtmäßig gelöschte Daten, darunter temporäre Quelltexte und abgelaufene Prüfdateien, nicht unbedingt rekonstruiert werden können.

Artikel 16 – Automatisierte Verarbeitung und Sprachmodelle

16.1. Anonimize verwendet für die Erkennung personenbezogener Daten softwarebasierte Erkennungsregeln und sprachtechnologische Komponenten.

16.2. Nach der derzeitigen Produktarchitektur wird die Kernverarbeitung innerhalb der Anwendungsumgebung ausgeführt.

16.3. Der Inhalt der vom Kunden bereitgestellten Dokumente wird bei der Verarbeitung nicht zur Erkennung oder zum Modelltraining an externe generative KI-Dienste weitergeleitet.

16.4. Anonimize verwendet die Dokumentinhalte des Kunden nicht für das Training von KI-Modellen.

16.5. Eine wesentliche Änderung, durch die personenbezogene Daten neuen externen Auftragsverarbeitern offengelegt werden, wird gemäß Artikel 8 und gegebenenfalls Artikel 9 behandelt.

16.6. Anonimize garantiert nicht, dass jedes personenbezogene Datum automatisch erkannt wird oder dass das Ergebnis ohne zusätzliche Prüfung rechtlich als anonym eingestuft werden kann.

16.7. Der Kunde bleibt dafür verantwortlich, die Ergebnisse zu beurteilen und, soweit erforderlich, zu prüfen, bevor sie für seine Zwecke verwendet werden.

Artikel 17 – Pseudonymisierung und Wiederherstellungsschlüssel

17.1. Der Kunde bestimmt, welcher Verarbeitungsmodus verwendet wird und ob eine umkehrbare Pseudonymisierung erforderlich ist.

17.2. Die Pseudonymisierung ist eine Sicherheits- und Datenschutzmaßnahme, bedeutet aber nicht, dass personenbezogene Daten aus dem Anwendungsbereich der DSGVO herausfallen.

17.3. Wiederherstellungsschlüssel und Identitätsbibliotheken werden als vertrauliche Informationen behandelt, die personenbezogene Daten enthalten können.

17.4. Exportiert der Kunde einen Wiederherstellungsschlüssel oder bewahrt er ihn außerhalb von Anonimize auf, trägt er die Verantwortung für die Sicherheit dieses externen Exemplars.

17.5. Anonimize kann nicht für die rechtswidrige Verwendung eines Schlüssels durch einen Dritten haftbar gemacht werden, soweit diese ausschließlich durch eine dem Kunden zurechenbare Offenlegung oder unzureichende Sicherung verursacht wurde.

Artikel 18 – Vergütungen und Haftung

18.1. Die gewöhnlichen Verarbeitungstätigkeiten und die Standardunterstützung im Rahmen der gewählten Dienstleistung sind im vereinbarten Preis enthalten.

18.2. Für zusätzliche individuelle Leistungen, außergewöhnliche Berichte, besondere Migrationsarbeiten oder zusätzliche Audits können die Parteien im Voraus gesonderte Vergütungen vereinbaren.

18.3. Jede Partei ist für Schäden verantwortlich, die ihr nach den anwendbaren gesetzlichen Regeln zugerechnet werden können.

18.4. Die Haftungsregelung der Allgemeinen Geschäftsbedingungen von Anonimize gilt zwischen den Parteien, soweit sie gültig ist.

18.5. Der Kunde stellt Anonimize von berechtigten Ansprüchen frei, die sich unmittelbar aus dem Kunden zurechenbaren rechtswidrigen Weisungen oder rechtswidrig bereitgestellten personenbezogenen Daten ergeben, soweit eine solche Freistellung gesetzlich zulässig ist.

Artikel 19 – Laufzeit und Beendigung

19.1. Dieser AVV tritt in dem Zeitpunkt in Kraft, in dem er von den Parteien rechtsgültig angenommen wird.

19.2. Er bleibt anwendbar, solange Anonimize personenbezogene Daten im Auftrag des Kunden verarbeitet, einschließlich des für Rückgabe, Löschung oder gesetzlich vorgeschriebene Aufbewahrung erforderlichen Zeitraums.

19.3. Die Beendigung des Hauptvertrags führt nicht automatisch zum Erlöschen von Pflichten zu Vertraulichkeit, Löschung, Datenschutz oder Haftung, die ihrer Natur nach fortbestehen.

Artikel 20 – Anwendbares Recht und Streitigkeiten

20.1. Auf diesen AVV ist belgisches Recht anwendbar, unbeschadet unmittelbar anwendbaren Unionsrechts.

20.2. Die Parteien bemühen sich, etwaige Streitigkeiten zunächst gütlich beizulegen.

20.3. Für geschäftliche Streitigkeiten sind die sachlich zuständigen Gerichte des Gerichtsbezirks Löwen zuständig, vorbehaltlich abweichender zwingender Zuständigkeitsregeln.

Artikel 21 – Schlussbestimmungen

21.1. Dieser AVV bildet zusammen mit den Anhängen einen verbindlichen Teil der vertraglichen Vereinbarungen zwischen den Parteien.

21.2. Anpassungen, die durch geänderte Rechtsvorschriften erforderlich werden, können gemäß den anwendbaren vertraglichen und gesetzlichen Verfahren vorgenommen werden.

21.3. Änderungen, die bestehende Datenschutzvereinbarungen wesentlich beeinträchtigen, erfordern eine rechtsgültige vertragliche Grundlage und dürfen zwingende Pflichten aus der DSGVO nicht einseitig aushöhlen.

21.4. Erweist sich eine Bestimmung als ganz oder teilweise ungültig, bleiben die übrigen Bestimmungen gültig, soweit der Vertrag ohne diese Bestimmung fortbestehen kann.

21.5. Die Anhänge gelten als fester Bestandteil dieses AVV.

Anhang I – Beschreibung der Verarbeitung

Dieser Anhang enthält die in Artikel 28 Absatz 3 DSGVO genannten Informationen.

1. Gegenstand der Verarbeitung

Die Bereitstellung einer digitalen Plattform, mit der Kunden personenbezogene Daten in Texten und Dokumenten erkennen, anonymisieren, pseudonymisieren, prüfen, verarbeiten, verwalten, exportieren und, bei Pseudonymisierung, wiederherstellen können.

2. Dauer der Verarbeitung

Die Verarbeitung erfolgt während der aktiven Dienstleistung und gegebenenfalls während des vertraglichen oder gesetzlichen Export-, Aufbewahrungs- und Löschzeitraums.

3. Art der Verarbeitung

Die Verarbeitung kann bestehen aus:

Empfangen und vorübergehendes Bereitstellen von Daten.
Extraktion und OCR.
Automatisierte Text- und Mustererkennung.
Klassifizierung und Identifizierung von Daten.
Anonymisierung und Pseudonymisierung
Speicherung von Ergebnissen und Wiederherstellungsinformationen,.
Abfrage, Prüfung und Korrektur.
Dokumentprüfung, Versionsverwaltung und Audit-Protokollierung.
Export, Übertragung und Löschung.
Technische Unterstützung und Sicherheit.

4. Zwecke der Verarbeitung

Die Durchführung der vom Kunden beauftragten Dokument- und Textverarbeitungen und der technischen Vorgänge, die erforderlich sind, um diese Dienstleistung zu ermöglichen, abzusichern und zu warten.

5. Kategorien betroffener Personen

Je nach den vom Kunden bereitgestellten Daten können dies unter anderem sein:

Arbeitnehmer und selbständige Mitarbeiter.
Kunden und Lieferanten.
Ansprechpartner und Vertreter.
Bürger und Einwohner.
Antragsteller, Beschwerdeführer und andere Verfahrensbeteiligte.
Nutzer öffentlicher oder privater Dienste.
Patienten oder Klienten, sofern rechtmäßig bereitgestellt.
Andere natürliche Personen, die in den bereitgestellten Dokumenten vorkommen.

6. Kategorien personenbezogener Daten

Je nach Nutzung können unter anderem folgende Daten verarbeitet werden:

Namen, Anreden und Kontaktdaten.
Adressen und Standortdaten.
E-Mail-Adressen und Telefonnummern.
Geburtsdaten.
Nationale Identifikationsnummern.
Finanzielle und administrative Kennungen.
IP-Adressen und technische Daten.
Personaldaten und Akteninformationen.
Freitext und Dokumentinhalte.
Gesundheitsdaten.
Andere besondere Kategorien personenbezogener Daten gemäß Artikel 9 DSGVO.
Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 DSGVO, sofern rechtmäßig verarbeitet.

Ob eine Kategorie tatsächlich verarbeitet wird, hängt von den Inhalten ab, die der Kunde bereitstellt. Diese Aufzählung stellt keine eigenständige Genehmigung dar, personenbezogene Daten ohne anwendbare Rechtsgrundlage zu verarbeiten.

7. Häufigkeit und Umfang

Die Verarbeitung erfolgt auf Veranlassung befugter Nutzer oder über autorisierte API-Aufrufe und Integrationen.

Der Umfang wird durch die tatsächliche Nutzung und die anwendbaren technischen und vertraglichen Grenzen bestimmt.

8. Aufbewahrungsfristen

Temporäre Quelldateien

Werden nur so lange aufbewahrt, wie es für die technische Durchführung, Korrektur und Abwicklung der Verarbeitung gemäß der anwendbaren technischen Aufbewahrungskonfiguration erforderlich ist.

Temporäre Prüfergebnisse

Verfallen gemäß der eingestellten technischen Aufbewahrungsfrist. Die Produktdokumentation beschreibt derzeit eine Frist von etwa fünf Minuten für noch nicht abgerufene temporäre Prüfergebnisse.

Gespeicherte Ergebnisse

Werden standardmäßig aufbewahrt, bis sie vom Kunden gelöscht werden, eine eingestellte Aufbewahrungsfrist abläuft oder die Dienstleistung gemäß den anwendbaren Vereinbarungen beendet wird.

Wiederherstellungsschlüssel und Identitätsbibliotheken

Werden gemäß der eingestellten Projekt- und Arbeitsbereichsaufbewahrung aufbewahrt. Die Standardeinstellung kann eine unbefristete Aufbewahrung sein, bis der Kunde sie ändert oder eine Löschung erfolgt.

Technische API-Nutzungsstatistiken

Werden nach der aktuellen Produktdokumentation höchstens neunzig Tage aufbewahrt, sofern keine andere rechtmäßige Aufbewahrungsfrist gilt.

Backups

Folgen dem gesondert festgelegten technischen Backup- und Löschzyklus der Produktivumgebung.

Nach Beendigung

Es gilt die anwendbare vertragliche und gesetzliche Export- und Löschregelung.

Der Kunde muss selbst geeignete Aufbewahrungsfristen konfigurieren, wenn die Standardeinstellungen nicht mit seinen gesetzlichen Pflichten vereinbar sind.

9. Verarbeitungsort

Der primäre Verarbeitungsort ergibt sich aus dem tatsächlich genutzten Produktivhosting und der gewählten Region.

Die aktuelle Produktivregion, etwaige Backup-Standorte und relevante Unterauftragsverarbeiter werden in Anhang III und in der betrieblichen Sicherheitsdokumentation festgehalten.

Internationale Übermittlungen sind ausschließlich gemäß Artikel 9 dieses AVV zulässig.

10. Rechte und Pflichten

Der Verantwortliche behält die Weisungsbefugnis und die gesetzlichen Verantwortlichkeiten für seine Verarbeitungszwecke.

Anonimize hat die Rechte und Pflichten, die in diesem AVV und in Artikel 28 DSGVO beschrieben sind.

Anhang II – Technische und organisatorische Sicherheitsmaßnahmen

Dieser Anhang beschreibt den Sicherheitsrahmen von Anonimize. Die tatsächlich aktivierten Funktionen hängen von der Produktivkonfiguration und dem gewählten Abonnement ab.

1. Zugriffsverwaltung

Anonimize sieht vor:

Persönliche Benutzerkonten.
Authentifizierung auf der Grundlage geschützter Zugangsdaten.
Hashing von Passwörtern.
Rollenbasierte Zugriffsverwaltung.
Getrennte Organisationen und Arbeitsbereiche.
Beschränkung des Zugriffs auf zugewiesene Daten.
Verwaltung und Entzug von Benutzerrechten.
Unterstützung der Zwei-Schritt-Verifizierung.
Optionale Authentifizierung über Microsoft Entra ID.

2. Verschlüsselung

Die technische Architektur sieht unter anderem vor:

HTTPS/TLS für die externe Verbindung mit der Plattform.
Verschlüsselte Speicherung bestimmter sensibler Daten.
Schutz gespeicherter Ergebnisse, Wiederherstellungsschlüssel und Identitätsbibliotheken.
Einen optionalen kundengesteuerten Verschlüsselungsmodus (BYOK).
AES-256-GCM-Verschlüsselung im Browser für die dafür geeigneten Daten bei aktiviertem BYOK.
Gesonderten Schutz technischer Konfigurationsgeheimnisse.

Bei der Standardspeicherung verwendet die aktuelle Produktarchitektur unter anderem Fernet-Verschlüsselung für gespeicherte Ergebnisse und Schlüsselmaterial.

Bei BYOK benötigt der Anwendungsserver während der aktiven Dokumenterkennung und OCR Zugriff auf den unverschlüsselten Quellinhalt.

3. Logische Datentrennung

Organisationen verfügen über getrennte Zugriffskontexte.
Arbeitsbereiche und Projekte unterliegen Zugriffsrechten.
Nutzer können nur Informationen abrufen, für die sie befugt sind.
Administrative Zugriffsrechte werden auf die erforderlichen Verwaltungsfunktionen beschränkt.

4. Sicherheit der Verarbeitung

Die Dokumentverarbeitung erfolgt innerhalb der Anwendungsumgebung.
Verarbeitungsaufgaben werden, soweit technisch vorgesehen, über begrenzte Warteschlangen ausgeführt.
Temporäre Dateien unterliegen technischen Verfalls- und Löschverfahren.
Erkennungskomponenten verarbeiten die Inhalte in der Standardarchitektur ohne Aufrufe generativer KI.
API-Schlüssel können auf bestimmte Befugnisse beschränkt und mit einem Ablaufdatum versehen werden.

5. Protokollierung und Nachvollziehbarkeit

Anonimize sieht, soweit verfügbar und angemessen, vor:

Technische Protokollierung.
Audit-Protokollierung relevanter Verwaltungsaktionen.
Erfassung von Dokument- und Benutzeraktionen.
Überwachung von Fehlermeldungen und technischen Ereignissen.
Begrenzung unnötiger Erfassung von Dokumentinhalten in Betriebslogs.

6. Schutz von Supportinformationen

Supportgespräche und Supportdaten werden als vertrauliche Informationen behandelt.

Die aktuelle Produktarchitektur sieht eine verschlüsselte Speicherung von Supportnachrichten vor.

Der Zugriff ist auf befugte Beteiligte beschränkt.

7. Verfügbarkeit und Wiederherstellung

Anonimize trifft geeignete Maßnahmen, um die Verfügbarkeit und Wiederherstellbarkeit der Dienste zu schützen.

Die konkrete Backup-Häufigkeit, Backup-Aufbewahrung, Wiederherstellungsverfahren und etwaige Wiederherstellungsziele werden durch die betriebliche Produktivkonfiguration bestimmt.

Es wird keine bestimmte Wiederherstellungszeit oder Verfügbarkeitsgarantie zugesagt, es sei denn, ein gesondertes SLA ist anwendbar.

8. Sicherheitsupdates und Bewertung

Anonimize beurteilt regelmäßig und risikobasiert:

Relevante Sicherheitsupdates.
Softwareabhängigkeiten.
Zugriffsrechte.
Schwachstellen.
Sicherheitsvorfälle.
Die Wirksamkeit der angewandten Maßnahmen.

9. Management von Vorfällen

Anonimize sieht Verfahren zur Erkennung, Untersuchung, Eindämmung und Nachverfolgung von Sicherheitsvorfällen vor.

Datenschutzverletzungen werden gemäß Artikel 11 dieses AVV behandelt.

10. Organisatorische Maßnahmen

Anonimize sorgt für angemessene Vertraulichkeitspflichten, kontrollierten Zugriff, klare Verantwortlichkeiten und einen risikobasierten Umgang mit personenbezogenen Daten.

11. Änderung von Maßnahmen

Anonimize darf einzelne Sicherheitsmaßnahmen verbessern oder durch gleichwertige oder bessere Alternativen ersetzen.

Anhang III – Verzeichnis der Unterauftragsverarbeiter

1. Allgemeines

Dieses Verzeichnis beschreibt die Parteien, die Anonimize tatsächlich einsetzt, um im Auftrag des Kunden personenbezogene Daten zu verarbeiten.

Für jede betreffende Partei werden mindestens folgende Angaben geführt:

Rechtlicher Name des Unterauftragsverarbeiters.
Dienst und Verarbeitungszweck.
Kategorien personenbezogener Daten.
Ort der Verarbeitung.
Relevante internationale Übermittlungen und Garantien.
Datum der Hinzuziehung oder der letzten relevanten Änderung.

2. Primäre Infrastruktur

Zerops – Cloudinfrastruktur

Status: seit dem 16. Oktober 2026 für die Produktivumgebung im Einsatz.

Funktion: Hosting, Ausführung von Anwendungs-Workloads, Speicherung, Netzwerkdienste und damit verbundene technische Dienstleistungen.

Potenzielle Datenkategorien: Dokumentinhalte, gespeicherte Ergebnisse, verschlüsselte Wiederherstellungsschlüssel, Projektdaten und technische Metadaten.

Verarbeitungsregion: prg1 in Prag, Tschechien (EWR), in Rechenzentren von vshosting.

Internationale Übermittlungen: Zerops übermittelt personenbezogene Daten nur dann außerhalb des EWR, wenn eine dokumentierte Weisung vorliegt oder das Unionsrecht oder das Recht eines Mitgliedstaats dies verlangt. Anonimize erteilt keine Weisung zur Übermittlung.

Vertragspartner und etwaige weitere Unterauftragsverarbeiter: Zerops s.r.o., Varšavská 715/36, 120 00 Prag-Vinohrady, Tschechien, Unternehmensnummer (IČO) 212 75 602. Die Vereinbarungen zur Auftragsverarbeitung stehen in Artikel 13 der Allgemeinen Geschäftsbedingungen von Zerops. Zerops darf andere Auftragsverarbeiter einsetzen, die bei der Erfüllung seiner Pflichten helfen, insbesondere beim Betrieb seiner Anlagen, und bietet die Möglichkeit, Änderungen zu widersprechen.

3. Sonstige Unterauftragsverarbeiter

Andere Lieferanten werden nur dann als Unterauftragsverarbeiter aufgenommen, wenn sie tatsächlich im Auftrag von Anonimize personenbezogene Daten verarbeiten, für die der Kunde Verantwortlicher oder Auftragsverarbeiter ist.

Backups, Logs und Überwachung der Produktivumgebung verbleiben bei Zerops in derselben Region. Anonimize erstellt täglich ein eigenes Backup der Datenbank und bewahrt es sieben Tage auf. Zusätzlich erstellt Zerops täglich ein verschlüsseltes Backup des Speichervolumes und bewahrt davon mindestens sieben tägliche, vier wöchentliche und drei monatliche Exemplare auf, höchstens fünfzig. Für Backup-Speicherung, Überwachung, Fehlererfassung oder technische Unterstützung setzt Anonimize keine anderen Lieferanten ein.

4. Zahlungsdienste

Für Abonnementzahlungen kann Stripe Managed Payments oder Link verwendet werden.

Soweit der betreffende Zahlungsdienstleister eigenständig über die Zwecke und Mittel der Verarbeitung von Zahlungs- und Steuerdaten entscheidet, handelt er als eigenständiger Verantwortlicher.

Zahlungsdienstleister gelten nicht allein wegen ihrer Beteiligung an der Rechnungsstellung als Unterauftragsverarbeiter für die Dokumentinhalte von Kunden.

Die konkreten datenschutzrechtlichen Verantwortlichkeiten ergeben sich aus der tatsächlich verwendeten Zahlungskonstruktion.

5. Vom Kunden aktivierte Integrationen

Anonimize kann Integrationen unter anderem mit Microsoft OneDrive, SharePoint, Google Drive, Dropbox und Box unterstützen.

Aktiviert ein Kunde über sein eigenes Konto und seine eigene Vertragsbeziehung eine Integration, ist dieser externe Dienst nicht automatisch ein von Anonimize eingesetzter Unterauftragsverarbeiter.

Die Rollenverteilung, die erforderliche Genehmigung und die anwendbaren Übermittlungsbedingungen müssen anhand der tatsächlichen Konfiguration bestimmt werden.

6. Änderungen

Die Liste der Unterauftragsverarbeiter wird gemäß Artikel 8 dieses AVV aktualisiert.

Kunden werden über relevante Hinzuziehungen oder Ersetzungen informiert und behalten ihre vertraglichen Einspruchsrechte.

Anhang IV – Kontaktdaten und vertragliche Annahme

1. Auftragsverarbeiter

Digital Change Management Services BV – Anonimize

3300 Tienen
Belgien

Unternehmensnummer: 0798.754.517
MwSt.-Nummer: BE 0798.754.517
E-Mail: info@anonimize.eu

2. Verantwortlicher

Der Kunde wird anhand der bei der Registrierung oder beim Vertragsabschluss angegebenen Organisations- und Vertragsdaten identifiziert.

Bei Geschäftsverträgen umfassen diese Angaben, soweit verfügbar, den offiziellen Unternehmensnamen, die Unternehmensnummer, die Niederlassungsadresse und eine befugte Kontaktperson.

3. Anlaufstelle für den Datenschutz

Der Kunde benennt eine erreichbare Anlaufstelle für Anfragen zum Datenschutz und zu Sicherheitsvorfällen.

Anonimize verwendet info@anonimize.eu als allgemeine Anlaufstelle, sofern nicht schriftlich eine spezifische Sicherheits- oder Datenschutzkontaktstelle mitgeteilt wurde.

4. Elektronische Annahme

Bei der elektronischen Annahme können unter anderem folgende Daten als Nachweis des Vertragsschlusses erfasst werden:

Identität des annehmenden Nutzers.
Betroffene Organisation.
Versionsnummer des AVV.
Datum und Uhrzeit der Annahme.
Aufzeichnung der durchgeführten Annahmehandlung.

Eine gesonderte Unterschrift ist nicht erforderlich, wenn der Vertrag rechtsgültig elektronisch zustande kommt.