ANHANG 2 – AUFTRAGSVERARBEITUNGSVEREINBARUNG (DPA)

1. Umfang, Rollen und Verarbeitung

1.1. Anhang 2 gilt, soweit Digicust personenbezogene Daten für den Auftraggeber verarbeitet. Der Auftraggeber handelt als Verantwortlicher oder als Auftragsverarbeiter eines vorgelagerten Verantwortlichen; Digicust handelt entsprechend als Auftragsverarbeiter oder Sub-Auftragsverarbeiter. Handelt der Auftraggeber als Auftragsverarbeiter, stellt er sicher, dass die Verarbeitung, seine Weisungen und der Einsatz von Digicust durch den Vertrag mit dem vorgelagerten Verantwortlichen gedeckt sind und erforderliche Genehmigungen vorliegen. Anwendbares Datenschutzrecht ist die DSGVO sowie sonstiges auf die jeweilige Verarbeitung zwingend anwendbares Datenschutzrecht.

1.2. Gegenstand, Dauer, Art, Zweck, Datenarten und Kategorien betroffener Personen ergeben sich aus Anhang 2-A. Die Verarbeitung dauert bis zur Rückgabe oder Löschung der im Auftrag verarbeiteten personenbezogenen Daten.

1.3. Die datenschutzrechtliche Rolle richtet sich nach dem jeweiligen Verarbeitungszweck. Personenbezogene Kundendaten sowie kundenbezogene Nutzungs-, Berechtigungs- und Protokolldaten, die Digicust nach dokumentierter Weisung zur Bereitstellung der Plattform oder vereinbarten Unterstützung verarbeitet, fallen unter die Auftragsverarbeitung. Digicust handelt als eigenständiger Verantwortlicher, soweit es Vertrags-, Kontakt-, Benutzerkonto- und Abrechnungsdaten sowie hierfür erforderliche technische Metadaten und Sicherheitsprotokolle im erforderlichen Umfang für eigene Vertrags- und Kontoverwaltung, Abrechnung, Betrugs- und Missbrauchsprävention, Informationssicherheit, Erfüllung eigener gesetzlicher Pflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen verarbeitet. Einzelheiten, Rechtsgrundlagen und Aufbewahrungsfristen enthält die jeweils aktuelle Datenschutzerklärung unter https://www.digicust.com/de/privacy/. Sie dient ausschließlich der Erfüllung datenschutzrechtlicher Informationspflichten, wird nicht Bestandteil des Vertrags oder dieser DPA und erweitert weder Verarbeitungszwecke noch Rechtsgrundlagen; zwingende Rechte und Informationspflichten bleiben unberührt. Digicust verwendet im Auftrag verarbeitete Daten nicht für eigene Werbung, allgemeines Modelltraining oder eigenständige Produktentwicklung.

2. Weisungen und Vertraulichkeit

2.1. Digicust verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich hinsichtlich Übermittlungen in ein Drittland oder an eine internationale Organisation. Das Vertragswerk, die vereinbarte Plattformnutzung und rechtmäßige Einstellungen autorisierter Benutzer gelten als dokumentierte Weisungen. Weitere Weisungen erfolgen in Textform.

2.2. Verlangt das Unionsrecht oder das Recht eines Mitgliedstaats, dem Digicust unterliegt, eine Verarbeitung außerhalb einer Weisung, informiert Digicust den Auftraggeber vor der Verarbeitung über diese rechtliche Anforderung, soweit das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Hält Digicust eine Weisung für datenschutzrechtswidrig, informiert Digicust den Auftraggeber unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus, soweit dies rechtlich zulässig ist.

2.3. Zugriff erhalten nur befugte Personen, die zur Vertraulichkeit verpflichtet und angemessen geschult sind. Digicust begrenzt Berechtigungen nach Aufgaben und Schutzbedarf.

3. Sicherheit

3.1. Digicust trifft unter Berücksichtigung von Stand der Technik, Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere der Risiken angemessene technische und organisatorische Maßnahmen nach Artikel 32 DSGVO. Die vereinbarten Maßnahmen ergeben sich aus Anhang 2-B.

3.2. Digicust überprüft die Wirksamkeit der Maßnahmen regelmäßig und darf sie durch gleichwertige oder wirksamere Maßnahmen ersetzen, sofern das vereinbarte Schutzniveau nicht abgesenkt wird. Über wesentliche Änderungen informiert Digicust den Auftraggeber vor ihrer Umsetzung; dringend erforderliche Sicherheitsänderungen werden unverzüglich nachträglich mitgeteilt.

4. Sub-Auftragsverarbeiter und Drittlandtransfers

4.1. Der Auftraggeber erteilt Digicust die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter. Der bei Vertragsschluss genehmigte und aktive Ausgangsbestand ergibt sich ausschließlich aus Abschnitt A des Anhangs 2-C. Abschnitt B führt geplante Anbieter nur zur Transparenz auf; ihr erstmaliger Einsatz richtet sich uneingeschränkt nach Ziffern 4.2 und 4.3. Digicust stellt Anhang 2-C vor Annahme in speicherbarer Form bereit. Anhang 2-C bezeichnet für jeden Anbieter mindestens Rechtsträger und Anschrift, Zweck und Umfang, Datenarten, Hosting- und Verarbeitungsregionen, Drittland- oder Remotezugriffe, Transfergrundlage und ergänzende Schutzmaßnahmen sowie Einsatzstatus und Datum der letzten Prüfung oder Aktualisierung. Die Genehmigung umfasst nur die dort offengelegte Anbieter-, Zweck-, Daten-, Regions- und Transferkonfiguration.

4.2. Digicust informiert den Auftraggeber mindestens 30 Kalendertage vor der Aufnahme oder Ersetzung eines Sub-Auftragsverarbeiters sowie vor einer wesentlichen Änderung seines Zwecks, Umfangs, seiner Verarbeitungsregion oder seines Drittland- oder Remotezugriffs per E-Mail an die zuletzt bekannt gegebene Vertrags- oder Datenschutzkontaktadresse. Der Auftraggeber stellt Digicust spätestens bei Vertragsschluss eine aktuelle Vertrags- oder Datenschutzkontakt-E-Mail-Adresse für diese Mitteilungen bereit, hält sie funktionsfähig, überwacht sie regelmäßig und teilt Änderungen unverzüglich in Textform mit. Solange der Auftraggeber keine gesonderte Datenschutzkontaktadresse mitteilt, gilt die im Angebot angegebene Vertragskontakt-E-Mail-Adresse. Die Mitteilung enthält die für die datenschutzrechtliche Beurteilung erforderlichen Informationen. Bei unvorhersehbarer Dringlichkeit aus Sicherheits-, Rechts- oder Kontinuitätsgründen darf Digicust, soweit objektiv erforderlich, abweichend von der Frist nach Satz 1 und der Widerspruchsfrist nach Ziffer 4.3 die betroffene Verarbeitung aussetzen oder vorübergehend auf einen bereits genehmigten Unterauftragsverarbeiter umstellen. Ein noch nicht genehmigter Unterauftragsverarbeiter erhält personenbezogene Daten erst nach vorheriger Information und einer den Umständen angemessenen Widerspruchsfrist oder ausdrücklicher Zustimmung des Auftraggebers. Digicust informiert den Auftraggeber unverzüglich über die Dringlichkeit und die getroffene Maßnahme; im Übrigen bleiben die Widerspruchs- und Kündigungsrechte nach Ziffer 4.3 unberührt.

4.3. Der Auftraggeber kann der Änderung innerhalb von 14 Kalendertagen nach Zugang aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen. Ohne fristgerechten Widerspruch gilt die Änderung als genehmigt. Bei fristgerechtem Widerspruch setzt Digicust den betreffenden Sub-Auftragsverarbeiter für die Daten des Auftraggebers bis zur Klärung nicht ein. Die Parteien suchen eine angemessene datenschutzkonforme Lösung. Ist keine zumutbare Alternative möglich, darf jede Partei den objektiv betroffenen Plattformumfang kündigen; Digicust erstattet dafür vorausbezahlte Entgelte für die Zeit nach Vertragsende zeitanteilig.

4.4. Digicust legt jedem Sub-Auftragsverarbeiter durch Vertrag oder einen anderen bindenden Rechtsakt dieselben Datenschutzpflichten auf, die Digicust nach Anhang 2 treffen, insbesondere hinsichtlich geeigneter technischer und organisatorischer Maßnahmen. Digicust bleibt dem Auftraggeber gegenüber für die Erfüllung dieser Pflichten durch den Sub-Auftragsverarbeiter voll verantwortlich.

4.5. Die Verarbeitung erfolgt grundsätzlich in der Europäischen Union oder im Europäischen Wirtschaftsraum. Eine Übermittlung in ein Drittland oder an eine internationale Organisation erfolgt nur auf dokumentierte Weisung des Auftraggebers und unter Einhaltung von Kapitel V DSGVO. Die Genehmigung eines Sub-Auftragsverarbeiters, dessen Drittland- oder Remotezugriff dem Auftraggeber nach Ziffer 4.1 oder 4.2 in speicherbarer Form offengelegt wurde, gilt als entsprechende Weisung. Digicust stützt die Übermittlung auf einen Angemessenheitsbeschluss oder geeignete Garantien, insbesondere anwendbare Standardvertragsklauseln, führt erforderliche Transferprüfungen durch und setzt notwendige ergänzende Maßnahmen um. Fällt die Transfergrundlage weg, setzt Digicust die betroffene Übermittlung aus, informiert den Auftraggeber und nimmt sie erst nach Herstellung einer rechtmäßigen Transfergrundlage wieder auf.

5. Unterstützung und Datenschutzverletzungen

5.1. Digicust unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung soweit möglich durch geeignete technische und organisatorische Maßnahmen bei der Bearbeitung von Anträgen auf Ausübung von Betroffenenrechten sowie unter Berücksichtigung der verfügbaren Informationen bei der Einhaltung der Artikel 32 bis 36 DSGVO. Unmittelbar bei Digicust eingehende Betroffenenanfragen werden unverzüglich weitergeleitet und ohne Weisung nicht in der Sache beantwortet.

5.2. Digicust meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten, die im Auftrag verarbeitete personenbezogene Daten betrifft, unverzüglich nach Kenntniserlangung. Die Meldung enthält, soweit verfügbar, Art und Umfang, betroffene Daten und Personen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und einen Kontakt. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.

5.3. Digicust dokumentiert relevante Vorfälle, wirkt an Eindämmung und Abhilfe mit und unterstützt den Auftraggeber angemessen bei Datenschutz-Folgenabschätzungen, vorherigen Konsultationen sowie erforderlichen Meldungen an Aufsichtsbehörden und betroffene Personen.

6. Nachweise und Audits

6.1. Digicust stellt alle Informationen bereit, die zum Nachweis der Pflichten nach Artikel 28 DSGVO und Anhang 2 erforderlich sind. Aktuelle Zertifikate, Prüfberichte, Sicherheitsdokumentationen und strukturierte Fragebögen werden vorrangig genutzt, soweit sie den Prüfzweck angemessen erfüllen.

6.2. Digicust ermöglicht Audits einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten fachkundigen und zur Vertraulichkeit verpflichteten Prüfer und trägt zu ihnen bei. Solche Audits finden grundsätzlich einmal je zwölf Monate, mit mindestens 30 Kalendertagen Vorankündigung und während üblicher Geschäftszeiten statt. Zusätzliche Audits und eine kürzere angemessene Vorankündigung sind bei einem relevanten Datenschutzvorfall, konkreten Zweifeln an der Einhaltung, einer behördlichen Anordnung oder sonstiger Dringlichkeit zulässig.

6.3. Audits dürfen Betrieb, Sicherheit, Daten anderer Kunden, Quellcode und Geschäftsgeheimnisse nicht unangemessen beeinträchtigen. Gleichwertige Nachweise werden vorrangig berücksichtigt, soweit sie den Prüfzweck vollständig erfüllen; das gesetzliche Auditrecht wird dadurch nicht beschränkt. Zwingende Befugnisse von Aufsichtsbehörden bleiben unberührt.

7. Rückgabe und Löschung

7.1. Nach Abschluss der Erbringung der vertragsgegenständlichen Verarbeitungsleistungen löscht Digicust nach Wahl des Auftraggebers alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, soweit keine zwingende gesetzliche Aufbewahrungspflicht besteht. Sofern der Auftraggeber keine frühere Rückgabe oder Löschung verlangt, erfolgt dies nach Ablauf der Abruffrist gemäß Anhang 1 Ziffer 6.2 oder einer später endenden zwingenden Frist. Daten in aktiven Systemen werden anschließend ohne unangemessene Verzögerung gelöscht. Soweit nicht Anhang 1 Ziffer 6.4 oder zwingendes Recht eine frühere vollständige Löschung verlangt, werden Sicherungskopien im dokumentierten regulären Rotationszyklus gelöscht oder überschrieben und bis dahin gegen produktive Nutzung geschützt. Die Export-, Wechsel-, Abruf- und Löschrechte nach Anhang 1 Ziffer 6 bleiben unberührt.

8. Pflichten des Auftraggebers

8.1. Der Auftraggeber ist für Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung und Richtigkeit der Daten und Weisungen verantwortlich. Er stellt erforderliche Rechtsgrundlagen und Informationen sicher. Handelt er als Auftragsverarbeiter, stellt er zusätzlich die erforderliche Genehmigung des vorgelagerten Verantwortlichen und übereinstimmende Weisungen sicher. Enthält der Vertrag mit dem vorgelagerten Verantwortlichen weitergehende Datenschutzpflichten, werden diese vor Beginn der betroffenen Verarbeitung in einem Nachtrag mit Digicust vereinbart; bis dahin beginnt diese Verarbeitung nicht. Besondere Kategorien personenbezogener Daten oder strafrechtliche Daten übermittelt er nur nach ausdrücklicher Vereinbarung zusätzlicher Schutzmaßnahmen.

8.2. Der Auftraggeber schützt eigene Konten, Endgeräte, Schnittstellen und Zugangsdaten und meldet vermutete unbefugte Nutzung unverzüglich. Er stellt sicher, dass seine Weisungen und die Nutzung der Plattform die Rechte betroffener Personen nicht verletzen.

9. Laufzeit, Haftung und Vorrang

9.1. Anhang 2 gilt, solange Digicust personenbezogene Daten im Auftrag verarbeitet oder noch Rückgabe-, Nachweis- oder Löschpflichten bestehen. Die übliche Mitwirkung nach Anhang 2 ist mit dem vereinbarten Entgelt abgegolten. Außergewöhnlicher, vom Auftraggeber veranlasster Aufwand außerhalb der gesetzlichen und vertraglichen Pflichten von Digicust darf nach vorheriger Abstimmung zum vereinbarten, sonst zum Stundensatz nach Anhang 1 Ziffer 3.4 berechnet werden; dies gilt nicht, soweit der Aufwand durch eine Pflichtverletzung von Digicust verursacht wurde.

9.2. Für die Haftung gilt Anhang 1. Zwingende Ansprüche, insbesondere nach Artikel 82 DSGVO, behördliche Befugnisse und gesetzliche Rückgriffsansprüche bleiben unberührt.

9.3. Zwingend anwendbare Standardvertragsklauseln und ausdrücklich vereinbarte Datenschutz-Nachträge gehen Anhang 2 vor. Im Übrigen gelten Rechtswahl und Gerichtsstand aus diesem Vertrag. Anhang 2 begründet allein keine gemeinsame Verantwortlichkeit; eine tatsächlich abweichende Rollenverteilung ist vor Beginn der betroffenen Verarbeitung gesondert zu regeln.

ANHANG 2-A – BESCHREIBUNG DER VERARBEITUNG

Dieser Anhang gilt ausschließlich für die im Angebot vereinbarten, für den Auftraggeber freigeschalteten und von ihm tatsächlich genutzten Module und Funktionen.

ANHANG 2-B – TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN

Die Maßnahmen werden risikobasiert angewendet. Digicust darf gleichwertige oder wirksamere Maßnahmen einsetzen, ohne das vereinbarte Schutzniveau abzusenken.

Organisation und Personal

• dokumentierte Zuständigkeiten für Datenschutz, Informationssicherheit und Vorfälle;
• Vertraulichkeitsverpflichtungen und regelmäßige, rollenbezogene Schulungen;
• dokumentierte Prozesse für Eintritt, Rollenwechsel und Austritt von Personen;
• regelmäßige Prüfung der Wirksamkeit und risikobasierte Verbesserung der Maßnahmen.

Identität, Zugriff und Mandantentrennung

• personalisierte Konten, rollenbasierte Berechtigungen und Least-Privilege-Prinzip;
• Mehrfaktor-Authentisierung für privilegierte und sonstige risikorelevante Zugriffe;
• regelmäßige Berechtigungsprüfung und zeitnaher Entzug nicht mehr benötigter Rechte;
• logische Trennung von Mandanten und kontrollierte administrative Produktionszugriffe;
• Protokollierung sicherheitsrelevanter Zugriffe und administrativer Änderungen;
• Datenklassifikation und Pseudonymisierung, soweit technisch vorgesehen.

Übertragung, Speicherung und Entwicklung

• angemessene Verschlüsselung bei Übertragung und, soweit nach Risiko und Stand der Technik erforderlich, bei Speicherung;
• kontrollierte Schnittstellen und Übergabekanäle für vereinbarte Integrationen;
• Nachvollziehbarkeit von Eingaben, Änderungen und Löschungen;
• getrennte Entwicklungs-, Test- und Produktionsprozesse, soweit technisch einschlägig;
• Change-, Freigabe- und CI/CD-Kontrollen für produktive Änderungen;
• Datenminimierung und beschränkte Nutzung produktiver personenbezogener Daten für Tests.

Verfügbarkeit und Wiederherstellung

• Monitoring, Logging sowie Kapazitäts- und Verfügbarkeitsüberwachung;
• dokumentierte Sicherungs- und Wiederherstellungsverfahren;
• Schutz der Infrastruktur durch angemessene Netzwerk-, Firewall-, Endpoint-, System- und Schadsoftwarekontrollen;
• Incident-Response-, Eskalations-, Notfall- und Wiederanlaufprozesse;
• Verfahren zur Wiederherstellbarkeit und Belastbarkeit;
• physische Schutzmaßnahmen der eingesetzten Rechenzentrumsanbieter.

Schwachstellen, Anbieter und Datenlebenszyklus

• risikobasierte Patch-, Update- und Schwachstellenprozesse;
• dokumentierte Auswahl und Kontrolle sicherheitsrelevanter Unterauftragnehmer;
• nachvollziehbare Aufbewahrungs-, Export-, Sperr- und Löschprozesse einschließlich für Protokolldaten;
• datenschutzfreundliche Voreinstellungen und Kontrollen zur weisungsgemäßen Verarbeitung;
• Löschung aktiver Systeme und Sicherungskopien nach Anhang 2 Ziffer 7.

ANHANG 2-C – SUB-AUFTRAGSVERARBEITERVERZEICHNIS

Dieses Verzeichnis wurde zuletzt am 21. Juli 2026 geprüft und aktualisiert. Abschnitt A enthält den bei Vertragsschluss genehmigten und aktiven Ausgangsbestand. Er umfasst acht unmittelbar von Digicust eingesetzte Anbieter und Nebius B.V. als nachgelagerten Unterauftragsverarbeiter von Inceptron. Abschnitt B führt zwei geplante Anbieter nur zur Transparenz auf. Regionale Speicherung schließt einen offengelegten Remotezugriff oder eine sonstige internationale Verarbeitung nicht automatisch aus.

A. Genehmigte und aktive Sub-Auftragsverarbeiter

1. Google Cloud

2. Hetzner

3. Microsoft Azure

4. Amazon Web Services

5. Cloudflare

6. Sentry

7. Lyceum Technology

8. Inceptron

9. Nebius als nachgelagerter Unterauftragsverarbeiter von Inceptron

B. Geplante Anbieter

Die Aufnahme in diesen Abschnitt bedeutet weder Genehmigung noch Beginn einer Verarbeitung. Vor dem erstmaligen Einsatz führt Digicust das Mitteilungs- und Widerspruchsverfahren nach Anhang 2 Ziffern 4.2 und 4.3 vollständig durch.

1. OpenAI

2. Nebul

Die vor Annahme bereitgestellte Fassung dieses Anhangs bildet den bei Vertragsschluss genehmigten Ausgangsbestand. Änderungen richten sich ausschließlich nach Anhang 2 Ziffern 4.2 und 4.3.