Vertrag zur Auftragsverarbeitung

Der Anbieter verarbeitet personenbezogene Daten in zwei verschiedenen Rollen. Diese Vereinbarung betrifft nur die zweite.

• Für die Daten des Kontos und der Organisation des Kunden, also E-Mail-Adressen der Mitglieder, Zugangsdaten, Rechnungsangaben und Nutzungsdaten der Plattform, ist der Anbieter selbst Verantwortlicher. Diese Verarbeitung beschreibt die Datenschutzerklärung; sie ist nicht Gegenstand dieses Vertrags.
• Für alles, was ein Scan über die vom Kunden beauftragte Website erhebt, ist der Kunde Verantwortlicher und der Anbieter Auftragsverarbeiter. Dafür gilt dieser Vertrag.

Gegenstand des Auftrags ist die automatisierte Prüfung der vom Kunden benannten Domains auf Sicherheits- und Datenschutzmängel und die Bereitstellung der Ergebnisse als Bericht und als maschinenlesbare Datei.

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er zur Prüfung der benannten Domain berechtigt ist. Prüft der Kunde eine Website im Auftrag eines Dritten, ist er diesem gegenüber für die Zulässigkeit der Weitergabe der Ergebnisse verantwortlich.

Die Vereinbarung beginnt mit dem Nutzungsvertrag und endet mit ihm. Sie endet nicht vor dem Zeitpunkt, zu dem der Anbieter die zuletzt im Auftrag verarbeiteten Daten nach dem Abschnitt „Löschung und Rückgabe“ gelöscht hat.

Art und Zweck

Erheben, Speichern, Auswerten, Zusammenstellen und Bereitstellen der Prüfergebnisse zu den vom Kunden benannten Domains, ausschließlich zum Zweck der Erbringung der vertraglichen Leistung. Konkret:

• Abruf öffentlich erreichbarer Inhalte der geprüften Website über HTTP und HTTPS ohne Anmeldung, ohne Absenden von Formularen und ohne Ausprobieren von Zugangsdaten, einschließlich einer Anfrage nach den erlaubten HTTP-Methoden (OPTIONS) und Anfragen nach bekannten Konfigurations- und Sicherungsdateien, von denen höchstens die ersten 512 Byte gelesen werden, sowie Abfrage der zugehörigen DNS-Einträge und TLS-Parameter;
• Laden der Startseite und einer Stichprobe von Unterseiten (zusammen höchstens 30 Seiten, bei einer Vollprüfung jede gefundene Seite) in einem echten Browser für die Datenschutzprüfung und Aufzeichnung dessen, was dabei ohne Einwilligung gesetzt oder nachgeladen wird;
• automatisierte Prüfung der Barrierefreiheit nach WCAG 2.2 auf den Stufen A und AA über dieselben Seiten; sie ersetzt kein Gutachten zur Barrierefreiheit;
• beim KI-Scan (Beta) im Plan Agentur: Untersuchung der verifizierten Domain durch einen Prüfer von Redcheck und Erstellung des Berichts als PDF. Daten des Kunden werden dabei an kein System künstlicher Intelligenz übermittelt;
• bei verifizierten Domains zusätzlich aktive Prüfungen gegen die gepinnten IP-Adressen der Domain;
• Erzeugung von Bericht, findings.json und Beweismitteln sowie deren Ablage im Objektspeicher;
• Bereitstellung der Ergebnisse in der Anwendung, über die Programmierschnittstelle, über den MCP-Server und über vom Kunden erzeugte Teilen-Links;
• Führung des Lauf-Protokolls als Nachweis der Berechtigung.

Art der Daten

Die Prüfung zielt nicht auf personenbezogene Daten. Sie können gleichwohl anfallen, weil eine Website sie enthält oder ausliefert:

• Beweismittel zu einem Befund: redigierte HTTP-Kopfzeilen, kurze Auszüge aus Antworten, Verzeichnisauflistungen, der Auszug einer security.txt bis 400 Zeichen und der Text eines Einwilligungsbanners bis 300 Zeichen. Solche Auszüge können personenbezogene Daten enthalten, etwa Namen und Kontaktdaten aus veröffentlichten Seiten;
• aus der Datenschutzprüfung: die Namen, Attribute und Laufzeiten der Cookies, die die geprüfte Website ohne Einwilligung setzt, die Schlüsselnamen im lokalen Speicher des Browsers und die Hostnamen der dabei kontaktierten Dritten. Cookie-Namen und Trackerkennungen können ein Merkmal sein, das sich einer Person zuordnen lässt;
• technische Angaben zur Infrastruktur der geprüften Domain: aufgelöste IP-Adressen, Rückwärtsnamen, offene Ports, erkannte Produkte und Versionen, Zertifikatsangaben;
• Zugangsdaten, die der Kunde für eine authentifizierte Prüfung selbst hinterlegt, etwa ein Sitzungs-Cookie oder eine Kopfzeile;
• die vom Kunden angegebene Freigabereferenz und der Name des Ansprechpartners, soweit eine gesonderte Freigabe vorliegt.

Was nicht erhoben wird

• keine Cookie-Werte. Gespeichert werden Name, Attribute und die Länge des Werts, nie der Wert selbst;
• keine Werte aus dem lokalen Speicher des Browsers, nur die Schlüsselnamen;
• keine Bildschirmfotos und kein Volltext der geprüften Seiten. Antworten werden nur im Arbeitsspeicher ausgewertet und nicht abgelegt;
• keine Daten realer Besucher der geprüften Website;
• keine Formulareingaben. Aktive Prüfungen senden ausschließlich eigene, als solche erkennbare Testwerte.

Vor dem Speichern eines Beweismittels werden Cookie-Werte, Cookie- und Authorization-Kopfzeilen, CSRF-Token und E-Mail-Adressen automatisch geschwärzt. Die Schwärzung erfolgt beim Erfassen, nicht erst beim Anzeigen: was nie geschrieben wird, kann auch nicht abfließen.

Kreis der Betroffenen

• Personen, deren Daten auf der geprüften Website veröffentlicht sind;
• Besucher der geprüften Website, soweit sich aus Cookie- und Trackerkennungen ein Personenbezug ergibt;
• Beschäftigte und Ansprechpartner des Kunden, die einen Lauf auslösen oder eine Freigabe erteilen.

Der Datenschutz-Scan lädt die Startseite ohne Einwilligung. Er erfasst dabei, was die Website von sich aus setzt und nachlädt. Er erhebt keine Daten realer Besucher: der Aufruf erfolgt durch den Scan-Worker, nicht durch eine Person, und es werden weder Sitzungen realer Besucher mitgelesen noch deren IP-Adressen verarbeitet.

Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Als Weisung gelten:

• dieser Vertrag und der Nutzungsvertrag samt Leistungsbeschreibung;
• jede Handlung des Kunden in der Anwendung, über die Programmierschnittstelle oder über den MCP-Server, insbesondere das Anlegen einer Domain, das Auslösen eines Laufs, das Anlegen eines Zeitplans, das Erzeugen oder Widerrufen eines Teilen-Links und jeder Löschantrag;
• gesonderte Weisungen in Textform an die unten genannte Kontaktstelle.

Weisungen, die über die vertraglich vereinbarte Leistung hinausgehen, sind gesondert zu vereinbaren; der Anbieter kann für ihre Umsetzung eine Vergütung verlangen.

Ist der Anbieter der Auffassung, dass eine Weisung gegen die Datenschutz-Grundverordnung oder andere Datenschutzvorschriften verstößt, teilt er dies dem Kunden unverzüglich mit. Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

Kontaktstelle Anbieter

kontakt@red-check.de

Kontaktstelle Kunde

Die im Konto hinterlegte E-Mail-Adresse des Inhabers der Organisation. Der Kunde hält sie aktuell.

Der Anbieter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.

Die Zahl der Personen mit Zugriff auf Produktivdaten wird auf das Notwendige beschränkt. Jeder Zugriff eines Beschäftigten des Anbieters auf die Organisation eines Kunden ist nur über die Kundensicht möglich, verlangt eine Begründung im Freitext, ist auf dreißig Minuten begrenzt, wird protokolliert und dem Kunden per E-Mail mitgeteilt.

Der Anbieter trifft die nachstehenden Maßnahmen. Sie sind Anlage 2 zu diesem Vertrag. Der Anbieter darf sie fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

Mandantentrennung

Jeder mandantenbezogene Datensatz trägt die Kennung der Organisation. Zusätzlich erzwingt die Datenbank Row-Level-Security auf allen mandantenbezogenen Tabellen, und zwar mit „force“, so dass auch der Tabelleneigentümer den Richtlinien unterliegt. Die Anwendung verbindet sich mit einer eigenen Datenbankrolle, die kein Recht hat, Richtlinien zu umgehen oder das Schema zu ändern. Der Mandantenkontext wird je Anfrage in einer Transaktion gesetzt; ohne ihn ist keine Zeile sichtbar. Ein automatischer Test prüft, dass jede Tabelle mit einer Organisationskennung tatsächlich unter Row-Level-Security steht.

Verschlüsselung

• Transport: ausschließlich TLS, Zertifikate von Let's Encrypt, für Website, Anwendung und Programmierschnittstelle.
• Passwörter der Nutzer: Argon2id mit 19 MiB Speicher, zwei Durchläufen und Salt je Passwort. Es gibt keinen Weg zurück zum Klartext.
• Geheimnisse des zweiten Faktors: mit XChaCha20-Poly1305 verschlüsselt gespeichert, nicht im Klartext.
• Zugangsdaten, die der Kunde für authentifizierte Prüfungen hinterlegt: mit XChaCha20-Poly1305 verschlüsselt, mit einem eigenen, vom Sitzungsschlüssel getrennt abgeleiteten Schlüssel.
• Sitzungstoken, Einladungstoken, Token für Teilen-Links, Bestätigungs- und Zurücksetzungstoken sowie API-Schlüssel werden nur als SHA-256-Hash gespeichert. Der Klartext eines API-Schlüssels wird genau einmal ausgeliefert; es gibt keinen Endpunkt, der ihn erneut ausgibt.
• Optionale Zugangswörter für Teilen-Links: Argon2id.

Datenbankserver und Objektspeicher liegen auf serverseitig verschlüsseltem Speicher. Zusätzlich werden besonders schützenswerte Einzelwerte auf Anwendungsebene verschlüsselt abgelegt: die Geheimnisse des zweiten Faktors sowie Zugangsdaten, die der Kunde für authentifizierte Prüfungen hinterlegt.

Zugangs- und Zugriffskontrolle

• Anmeldung ausschließlich mit E-Mail-Adresse und Passwort; Mindestlänge zwölf Zeichen. Eine Anmeldung über Dritte gibt es nicht.
• Zweiter Faktor über zeitbasierte Einmalkennwörter mit Wiederherstellungscodes; für Verwaltungsroutinen des Anbieters ist er zwingend.
• Sitzungscookie mit den Attributen HttpOnly, Secure und SameSite=Lax; Laufzeit dreißig Tage, jederzeit widerrufbar.
• Rollen innerhalb der Organisation mit abgestuften Rechten; API-Schlüssel mit begrenztem Wirkungsbereich, jederzeit widerrufbar.
• Drosselung der Anmelde-, Registrierungs- und Zurücksetzungsversuche je Adresse und je Herkunft; die dafür verwendeten IP-Adressen werden nur im Arbeitsspeicher gehalten und nicht gespeichert.
• Der Objektspeicher ist nicht öffentlich erreichbar. Dateien werden über kurzlebige, für fünf Minuten gültige vorsignierte Adressen ausgeliefert.
• Der Scan-Worker hat keinen eingehenden Netzwerkanschluss und erhält weder Datenbank- noch Objektspeicher-Zugangsdaten. Wer einen Worker übernimmt, erlangt damit keinen Zugriff auf die Daten der Mandanten.

Zugriffsprotokoll

• Jeder Lauf schreibt ein fortlaufendes, hash-verkettetes Protokoll: jeder Eintrag enthält den Hashwert des vorangegangenen. Eine nachträgliche Änderung bricht die Kette sichtbar.
• Handlungen von Beschäftigten des Anbieters an Kundendaten werden in einem getrennten Plattformprotokoll erfasst, mit handelnder Person, Zeitpunkt, betroffener Organisation, Grund und IP-Adresse.
• Zugriffe über einen Teilen-Link werden mit Zeitpunkt, gehashter IP-Adresse und Browserkennung protokolliert; die IP-Adresse wird mit einem geheimen Schlüssel gehasht und ist nicht zurückrechenbar.

Begrenzung des Prüfumfangs

Aktive Prüfungen sind technisch auf den freigegebenen Bereich begrenzt: verifizierter Apex samt Unterdomains, die bei der Verifikation aufgelösten und gepinnten IP-Adressen und ein Zeitfenster von 24 Stunden. Der Worker bricht ab, sobald das Fenster überschritten oder ein Ziel außerhalb des Adresssatzes angesprochen würde. Weicht der gepinnte Adresssatz später ab, verfällt die Verifikation und aktive Läufe sind gesperrt, bis erneut nachgewiesen wird.

Datenminimierung in der Diagnose

Betriebs- und Telemetriedaten enthalten die geprüfte Domain nur als mit einem geheimen Schlüssel gebildeten Hashwert (HMAC-SHA-256), der sich ohne diesen Schlüssel nicht zurückrechnen lässt. Das ist eine Pseudonymisierung und keine Anonymisierung. Ein Ereignis mit einer Domain im Klartext wird abgewiesen. Die Telemetriedaten werden nach neunzig Tagen gelöscht.

Verfügbarkeit und Wiederherstellbarkeit

Die Datenbank wird täglich gesichert; die Sicherungen liegen in einem getrennten Bereich des Objektspeichers und werden dreißig Tage vorgehalten. Die Artefakte im Objektspeicher werden nicht gesichert; geht der Objektspeicher verloren, sind die Berichte verloren. Die Wiederherstellbarkeit wird regelmäßig überprüft. Der Kunde kann jederzeit ein vollständiges Archiv seiner Organisation anfordern.

Die Server stehen in Rechenzentren der Hetzner Online GmbH in Deutschland. Deren Zutritts- und Umgebungskontrolle ist nach ISO/IEC 27001 zertifiziert.

Die Wirksamkeit dieser Maßnahmen wird mindestens jährlich sowie anlassbezogen durch die Geschäftsführung überprüft und bewertet.

Der Anbieter meldet dem Kunden jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betrifft, unverzüglich, spätestens innerhalb von 48 Stunden ab Kenntnis, in Textform an die im Konto hinterlegte Adresse, damit der Kunde seine eigenen Fristen nach Art. 33 und 34 DSGVO wahren kann.

Die Meldung beschreibt, soweit bekannt, die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Der Anbieter unterstützt den Kunden bei dessen Pflichten nach den Art. 33 und 34 DSGVO.

Meldungen an die Aufsichtsbehörde und an betroffene Personen nimmt der Kunde vor. Der Anbieter meldet nicht selbst, es sei denn, er ist dazu gesetzlich verpflichtet.

Der Kunde stimmt dem Einsatz der unter Subprozessoren genannten Unterauftragsverarbeiter zu. Diese Liste ist Anlage 3 zu diesem Vertrag.

Der Anbieter verpflichtet jeden Unterauftragsverarbeiter auf Datenschutzpflichten, die denen dieses Vertrags entsprechen, und bleibt dem Kunden gegenüber für dessen Verhalten verantwortlich.

Den beabsichtigten Einsatz eines neuen oder den Wechsel eines bestehenden Unterauftragsverarbeiters teilt der Anbieter dem Kunden mindestens dreißig Tage vorher in Textform mit. Der Kunde kann innerhalb von vierzehn Tagen nach Zugang aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Widerspricht er, kann jede Seite den Vertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich kündigen.

Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, bei denen keine personenbezogenen Daten des Kunden verarbeitet werden, insbesondere der Abruf öffentlicher Schwachstellen- und Produktlebenszyklusdaten, an den nur Produktnamen und Versionen übermittelt werden.

Wendet sich eine betroffene Person mit einem Auskunfts-, Berichtigungs-, Löschungs- oder Widerspruchsbegehren an den Anbieter, leitet er sie an den Kunden weiter, sofern erkennbar ist, dass sich das Begehren auf im Auftrag verarbeitete Daten bezieht. Der Anbieter beantwortet solche Begehren nicht selbst.

Der Anbieter unterstützt den Kunden mit den Mitteln, die die Plattform bereitstellt:

• vollständiger Datenexport der Organisation als Archiv, angestoßen in den Einstellungen unter „Datenschutz und Löschung“. Es enthält Domains, Läufe, Befunde, Team, Rechnungen und das Lauf-Protokoll und steht sieben Tage zum Abruf bereit;
• Löschung einzelner Berichte, einzelner Domains, aller Artefakte oder der gesamten Organisation über einen Löschantrag mit einer Karenzzeit von sieben Tagen, in der er zurückgenommen werden kann;
• jederzeitiger Einblick in die Aufbewahrungsfrist der eigenen Organisation.

Weitergehende Unterstützung, die über diese Mittel hinausgeht, erbringt der Anbieter nach Aufwand.

Der Kunde hat das Recht, sich von der Einhaltung dieses Vertrags zu überzeugen. Der Anbieter erteilt dazu auf Anfrage in Textform Auskunft und stellt die Beschreibung der technischen und organisatorischen Maßnahmen zur Verfügung.

Reicht die Auskunft nicht aus, kann der Kunde nach einer Ankündigung von mindestens dreißig Tagen während der üblichen Geschäftszeiten eine Prüfung vor Ort durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber des Anbieters sein darf. Die Prüfung darf den Betrieb nicht unangemessen beeinträchtigen und findet höchstens einmal im Kalenderjahr statt, außer bei begründetem Anlass.

Prüfungen bei Unterauftragsverarbeitern erfolgen über die Auskünfte und Nachweise, die diese dem Anbieter zur Verfügung stellen.

Der Anbieter weist die Einhaltung seiner Pflichten vorrangig durch Auskunft und geeignete Nachweise nach, insbesondere durch die Zertifikate des Rechenzentrumsbetreibers. Eine Kontrolle vor Ort ist nach rechtzeitiger Ankündigung und ohne Störung des Betriebs möglich; die dem Kunden dabei entstehenden Kosten trägt er selbst, den Zeitaufwand des Anbieters vergütet er nach Aufwand.

Der Anbieter löscht Artefakte, also Bericht als PDF, findings.json, das ausgeleitete Lauf-Protokoll und Beweismittel, nach Ablauf der Aufbewahrungsfrist des Plans. Die Löschung läuft täglich als Hintergrundaufgabe. Sie umfasst das Objekt im Objektspeicher; am Lauf bleibt vermerkt, dass die Artefakte gelöscht wurden.

Das Lauf-Protokoll in der Datenbank und die Metadaten des Laufs bleiben auch nach Löschung der Artefakte erhalten. Sie werden drei Jahre nach Abschluss des Laufs gelöscht, frühestens wenn alle Berichte des Laufs gelöscht sind, spätestens mit der Organisation; Angaben zu Rechnungen, Preisen und Gutschriften werden für die gesetzlichen Aufbewahrungsfristen von zehn Jahren aufbewahrt. Erhalten bleibt: welche Domain, welche Stufe, welches Zeitfenster, welche Freigabereferenz, welche gepinnten Adressen und wer den Lauf auslöste. Sie sind der einzige Nachweis dafür, dass ein aktiver Lauf autorisiert war, und liegen im Interesse beider Seiten. Rechtsgrundlage ist das berechtigte Interesse beider Vertragsparteien an der Führung dieses Nachweises.

Auf Verlangen des Kunden löscht der Anbieter die Organisation samt Artefakten, Läufen, Befunden, organisationsgebundenem Lauf-Protokoll, Domains, Mitgliedschaften und Rechnungsspiegel. Der davon getrennte minimale Scanner-Nachweis unterliegt der nachfolgenden eigenen Frist.

Unabhängig von Berichten und der Löschung der Organisation bleibt ein minimaler Scanner-Nachweis bis 365 Tage nach dem endgültigen Ende des Scans erhalten. Er enthält Auftraggeber, auslösenden Nutzer oder API-Zugang beziehungsweise Zeitplan, Auftragsfassung, Ziele, Versuche, Zeiten und die bekannte Worker- und Netzwerkzuordnung. Er enthält keine Befunde, Rohantworten oder privaten Zugangsdaten. Zugriff haben ausschließlich berechtigte Plattform-Admins zur Zuordnung und Bearbeitung von Rückfragen zu Scanneranfragen. Die Fristen anderer Protokolle werden dadurch nicht verlängert.

Bei eingeschalteter Scanner-Kennzeichnung kann über die zufällige Referenz ab dem tatsächlichen Scanstart bis 90 Tage nach dem endgültigen Ende ausschließlich der Organisationsname zum Scanstart, das Ziel, der Zeitraum und der Betreiberkontakt abgefragt werden. Dies gilt auch nach einer Organisations- oder Berichtslöschung. Es gibt keine öffentliche Scanliste und keinen Zugriff auf Befunde. Die Auskunft wird nicht öffentlich zwischengespeichert oder für Suchmaschinen freigegeben. Eine vorzeitige Sperrung durch den Betreiber ist möglich; bei abgeschalteter Kennzeichnung gibt es keine öffentliche Auskunft.

Vor der Löschung kann der Kunde das Archiv seiner Organisation herunterladen. Eine gesonderte Rückgabe in einem anderen Format schuldet der Anbieter nicht.

Zum Verhältnis von Konto und Organisation: Ein Benutzerkonto einer natürlichen Person besteht unabhängig von den Organisationen, denen sie angehört, weil eine Person Mitglied mehrerer Organisationen sein kann. Wird ein Mitglied aus einer Organisation entfernt, endet nur die Mitgliedschaft. Eine betroffene Person kann ihr Benutzerkonto in den Einstellungen unter „Datenschutz und Löschung“ selbst löschen; dabei wird ihr Personenbezug entfernt oder, wo Nachweispflichten die Zeile erhalten, durch einen Platzhalter ersetzt.

Ebenfalls klarstellungsbedürftig: Das Plattformprotokoll über Handlungen von Beschäftigten des Anbieters ist bewusst nicht an die Organisation gebunden und überdauert deren Löschung. Es enthält die E-Mail-Adresse des handelnden Beschäftigten, den Grund und die IP-Adresse, nicht aber Daten der Betroffenen des Kunden. Das Plattformprotokoll dient als Nachweis über Support-Zugriffe. Einträge werden nach drei Jahren gelöscht, Einträge zu Rechnungen, Preisen und Gutschriften nach zehn Jahren ab Ende des Kalenderjahres. Löscht der handelnde Beschäftigte sein Konto, wird seine E-Mail-Adresse sofort entfernt.

Der Anbieter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die er im Auftrag des Kunden durchführt (Art. 30 Abs. 2 DSGVO), und stellt es dem Kunden auf Anfrage zur Verfügung.

Der Anbieter unterstützt den Kunden auf Anfrage bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und bei einer vorherigen Konsultation nach Art. 36 DSGVO, soweit die dafür erforderlichen Angaben nur ihm vorliegen.

Eine Verarbeitung außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums findet im Rahmen dieses Vertrags nur statt, soweit sie sich aus der Liste der Unterauftragsverarbeiter ergibt, und nur auf einer Grundlage nach Kapitel V DSGVO.

Im Übrigen gelten die Allgemeinen Geschäftsbedingungen. Bei Widersprüchen zwischen jenen und diesem Vertrag geht dieser Vertrag in Datenschutzfragen vor.

Änderungen dieses Vertrags bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Ein Datenschutzbeauftragter ist nicht bestellt; eine Bestellpflicht nach § 38 BDSG besteht nicht.