Auftragsverarbeitungsvertrag

gemäß Art. 28 DSGVO

zwischen

dem Verantwortlichen (Auftraggeber): dem Betrieb, der sich mit seinem Konto auf der Plattform platform.twentyoneclo.com registriert hat, mit den Angaben, die er bei der Registrierung gemacht hat und in seinem Konto pflegt,

und

dem Auftragsverarbeiter (Auftragnehmer): Max Sänger, handelnd unter „Twentyone CLO“, c/o flexdienst – #20077, Kurt-Schumacher-Straße 74, 67663 Kaiserslautern, Deutschland, E-Mail für Datenschutzfragen datenschutz@twentyoneclo.com,

gemeinsam „die Parteien“.

§ 1 Gegenstand und Dauer

1.1 Der Auftragsverarbeiter stellt dem Verantwortlichen eine Plattform bereit („Plattform“). Sie umfasst einen KI-gestützten Chat-Assistenten für die Website des Verantwortlichen („CLO“), eine Verwaltung für Termine, Anfragen und Kurse, eine geführte Online-Anmeldung, Videogespräche im Browser, einen Team-Chat sowie den Versand von E-Mails an die Kunden des Verantwortlichen. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen. Einzelheiten stehen in Anlage 1.

1.2 Der Auftragsverarbeiter verarbeitet diese Daten für die Dauer des Hauptvertrags (Nutzungsvertrag nach den Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters, „AGB“). Dieser Vertrag endet mit dem Hauptvertrag; § 10 gilt darüber hinaus.

1.3 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Das gilt auch für eine Übermittlung in ein Drittland. Ausgenommen sind Verarbeitungen, zu denen der Auftragsverarbeiter nach dem Recht der Europäischen Union oder eines Mitgliedstaats verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen die rechtliche Anforderung vor der Verarbeitung mit, es sei denn, das Recht verbietet diese Mitteilung aus wichtigem öffentlichem Interesse. Die Bereitstellung und Nutzung der Plattform nach Hauptvertrag und Einstellungen des Verantwortlichen gilt als Weisung.

§ 2 Art und Zweck der Verarbeitung

2.1 Art: Erheben, Speichern, Verschlüsseln, Übermitteln an die in Anlage 3 genannten Unterauftragsverarbeiter, Auswerten durch ein Sprachmodell, Anzeigen in der Verwaltung des Verantwortlichen, Löschen und Anonymisieren nach festen Fristen.

2.2 Zweck: Beantworten von Anfragen der Website-Besucher des Verantwortlichen durch CLO; Erfassen und Verwalten von Terminen, Rückrufwünschen, Terminanfragen und Kursanmeldungen (zum Beispiel zum Theorieunterricht); Durchführen der geführten Online-Anmeldung einschließlich des Genehmigungsverfahrens bei Minderjährigen und der Bereitstellung einer Vertragsvorlage des Verantwortlichen; Versand von Bestätigungen, Erinnerungen und Absagen im Namen des Verantwortlichen; Videogespräche zwischen dem Verantwortlichen und seinen Kunden; interne Kommunikation des Teams des Verantwortlichen.

2.3 Der Auftragsverarbeiter verarbeitet die Daten nicht für eigene Zwecke. Nicht Gegenstand dieses Vertrags sind Daten, die der Auftragsverarbeiter als Verantwortlicher verarbeitet: Konten der Nutzer der Plattform, Abrechnung, Vertrag, Sicherheit der Plattform und Server-Protokolle. Dafür gilt die Datenschutzerklärung der Plattform.

§ 3 Datenarten und besondere Kategorien

3.1 Die Datenarten stehen in Anlage 1, Abschnitt C.

3.2 Die Plattform sieht keine Felder für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) vor. Solche Angaben können dennoch in Freitextfeldern entstehen, insbesondere in Nachrichten des Chats, in Arbeitsvermerken, Stornogründen und im Team-Chat. Der Verantwortliche entscheidet, ob er solche Angaben zulässt, und ist für ihre Rechtmäßigkeit verantwortlich.

3.3 CLO geht in seinen Antworten nicht auf Angaben zu Gesundheit, Medikamenten, Alkohol oder Drogen ein und nennt keine Vornamen erkennbar minderjähriger Personen. Diese Schutzfunktion wirkt nur bei Eingaben in deutscher Sprache; für die weiteren Sprachen des Chats gilt sie nicht. Der Verantwortliche nimmt das zur Kenntnis.

§ 4 Kategorien betroffener Personen

Betroffen sind die in Anlage 1, Abschnitt D, genannten Personen, darunter Website-Besucher, Interessenten und Endkunden (zum Beispiel Fahrschüler oder Mitglieder), deren Erziehungsberechtigte, Teilnehmende an Videogesprächen sowie Mitarbeitende des Verantwortlichen. Minderjährige sind nicht ausgeschlossen; Anlage 1, Abschnitt E, beschreibt den Umgang mit ihnen.

§ 5 Pflichten und Rechte des Verantwortlichen

5.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich und sorgt für eine Rechtsgrundlage für jede Verarbeitung.

5.2 Der Verantwortliche informiert die betroffenen Personen nach Art. 13 und 14 DSGVO. Dazu gehört ein Hinweis in seiner eigenen Datenschutzerklärung auf den Einsatz von CLO, auf die Übermittlung von Chat-Nachrichten an den Anbieter des Sprachmodells, auf die Speicherung und maschinelle Zusammenfassung des Chatverlaufs bei einer Terminbuchung und auf die Speicherfristen. Die Datenschutzerklärung der Plattform enthält dafür Textbausteine.

5.3 Der Verantwortliche hinterlegt in der Plattform die Adresse seiner Datenschutzerklärung. Ohne diese Adresse ist CLO auf seiner Website nicht erreichbar. Für die geführte Anmeldung hinterlegt er die Adresse seiner Widerrufsbelehrung. Versicherungsvermittler hinterlegen zusätzlich die Adresse ihrer Erstinformation.

5.4 Weisungen, die über die Nutzung der Plattform hinausgehen, erteilt der Verantwortliche in Textform an datenschutz@twentyoneclo.com. Der Auftragsverarbeiter dokumentiert solche Weisungen und ihre Ausführung.

5.5 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das dem Verantwortlichen unverzüglich mit. Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

5.6 Der Verantwortliche bestimmt, welche Personen seines Teams Zugang zur Verwaltung erhalten und welche Rechte sie haben. Rollen vergibt allein sein Hauptkonto.

§ 6 Pflichten des Auftragsverarbeiters

6.1 Der Auftragsverarbeiter

• verarbeitet die Daten nur auf dokumentierte Weisung (§ 1.3);
• stellt sicher, dass alle Personen, die mit den Daten umgehen, zur Vertraulichkeit verpflichtet sind (§ 15);
• trifft die Maßnahmen nach § 7 und Anlage 2;
• setzt Unterauftragsverarbeiter nur nach § 8 ein;
• unterstützt den Verantwortlichen bei den Rechten der betroffenen Personen (§ 9);
• unterstützt den Verantwortlichen bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation (§ 11, § 12);
• gibt die Daten nach Vertragsende heraus und löscht sie (§ 10);
• stellt die Informationen bereit, die der Verantwortliche zum Nachweis seiner Pflichten braucht, und ermöglicht Überprüfungen (§ 13);
• informiert den Verantwortlichen unverzüglich, wenn eine Behörde die Herausgabe von Daten verlangt, soweit das rechtlich zulässig ist.

6.2 E-Mails an die Kunden des Verantwortlichen versendet der Auftragsverarbeiter über einen Dienstleister für E-Mail-Versand mit Transportverschlüsselung (Anlage 3). Absenderadresse ist eine Adresse der Plattform; als Absendername erscheint der Verantwortliche. Antworten gehen an die vom Verantwortlichen hinterlegte Adresse, sofern er eine hinterlegt hat.

6.3 Ansprechperson für Datenschutzfragen ist der Inhaber des Auftragsverarbeiters, erreichbar unter datenschutz@twentyoneclo.com.

§ 7 Technische und organisatorische Maßnahmen

7.1 Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO. Anlage 2 beschreibt Maßnahmen, die in der Software oder im Betrieb der Plattform umgesetzt sind, und gesondert die geplanten Maßnahmen mit ihrem Umsetzungstermin.

7.2 Der Auftragsverarbeiter überprüft die Maßnahmen regelmäßig und passt sie an den Stand der Technik an. Das Schutzniveau darf dabei nicht sinken. Über eine neue Fassung von Anlage 2 informiert er den Verantwortlichen per E-Mail an die Adresse des Hauptkontos.

§ 8 Unterauftragsverarbeiter

8.1 Der Verantwortliche genehmigt den Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter (allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO). Anlage 3 nennt für jeden Unterauftragsverarbeiter Sitz, Leistung, Ort der Verarbeitung und die Garantie bei einer Übermittlung in ein Drittland.

8.2 Will der Auftragsverarbeiter einen Unterauftragsverarbeiter hinzufügen oder ersetzen, teilt er das dem Verantwortlichen mindestens vier Wochen vor dem Einsatz per E-Mail an die Adresse des Hauptkontos mit. Der Verantwortliche kann innerhalb von zwei Wochen nach Zugang der Mitteilung aus einem datenschutzrechtlichen Grund in Textform widersprechen. Widerspricht er, setzt der Auftragsverarbeiter den neuen Unterauftragsverarbeiter für diesen Verantwortlichen nicht ein, wenn das technisch möglich ist; andernfalls kann der Verantwortliche den Hauptvertrag zum Zeitpunkt des Einsatzes kündigen. Widerspricht er nicht, gilt die Änderung als genehmigt; Anlage 3 wird mit der nächsten Fassung dieses Vertrags angepasst.

8.3 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags im Wesentlichen entsprechen. Erfüllt ein Unterauftragsverarbeiter seine Pflichten nicht, haftet der Auftragsverarbeiter dem Verantwortlichen dafür nach Art. 28 Abs. 4 DSGVO.

8.4 Übermittlungen in Drittländer stehen in Anlage 3 mit der jeweiligen Garantie. Der Auftragsverarbeiter nennt dem Verantwortlichen auf Anfrage die Unterlagen dazu.

§ 9 Rechte der betroffenen Personen

9.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Mitteln dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten. Die Plattform bietet dafür eine Löschfunktion je Person über E-Mail-Adresse oder Telefonnummer, mit der Termine, Anfragen, Kursanmeldungen (zum Beispiel zum Theorieunterricht), Anmeldungen und Angaben zu Erziehungsberechtigten anonymisiert werden, die Bearbeitung von Datensätzen in der Verwaltung und einen Gesamtexport der Daten des Verantwortlichen im JSON-Format.

9.2 Wendet sich eine betroffene Person an den Auftragsverarbeiter, leitet er den Antrag unverzüglich, spätestens innerhalb von drei Werktagen, an den Verantwortlichen weiter und teilt der Person mit, an wen er weitergeleitet hat. Er beantwortet den Antrag nicht selbst.

9.3 Chat-Nachrichten, die nicht zu einer Terminbuchung geführt haben, lassen sich keiner Person zuordnen. Sie werden nach 30 Tagen gelöscht; ein früheres Löschen für eine einzelne Person ist nicht möglich.

§ 10 Rückgabe und Löschung nach Vertragsende

10.1 Fordert der Verantwortliche innerhalb von 30 Tagen nach Ende des Hauptvertrags per E-Mail an datenschutz@twentyoneclo.com die Herausgabe seiner Daten an, stellt der Auftragsverarbeiter ihm einen Export im JSON-Format bereit.

10.2 Spätestens 60 Tage nach Ende des Hauptvertrags löscht der Auftragsverarbeiter die Daten des Verantwortlichen auf der Plattform. Bis dieser Vorgang automatisiert ist, nimmt der Auftragsverarbeiter die Löschung manuell vor. Eine frühere Löschung und die Bestätigung der Löschung in Textform kann der Verantwortliche per E-Mail an datenschutz@twentyoneclo.com verlangen.

10.3 Ausgenommen sind Daten, die der Auftragsverarbeiter aufgrund gesetzlicher Pflichten länger aufbewahrt, und Daten, die er als Verantwortlicher verarbeitet: Abrechnungsdaten (Guthabenbuch und Zahlungsereignisse, zehn Jahre), Prüfwerte zum Schutz vor mehrfacher Nutzung des Testzeitraums (24 Monate, ohne Klartextangaben) und der Nachweis über die Annahme dieses Vertrags.

10.4 Anonymisierte Daten, die keinen Rückschluss auf Personen zulassen, sind von der Löschpflicht ausgenommen.

10.5 Daten, die an Unterauftragsverarbeiter übermittelt wurden, unterliegen dort deren Fristen.

§ 11 Verletzungen des Schutzes personenbezogener Daten

11.1 Stellt der Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten fest, die Daten des Verantwortlichen betrifft, meldet er sie dem Verantwortlichen unverzüglich nach Kenntnis in Textform.

11.2 Die Meldung enthält, soweit bekannt: Art der Verletzung; Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze; wahrscheinliche Folgen; ergriffene und geplante Maßnahmen; Name und Kontaktdaten der Ansprechperson. Fehlende Angaben liefert der Auftragsverarbeiter unverzüglich nach.

11.3 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und bei der Benachrichtigung betroffener Personen (Art. 34 DSGVO).

11.4 Hinweise auf Sicherheitsvorfälle richtet der Verantwortliche an datenschutz@twentyoneclo.com.

§ 12 Datenschutz-Folgenabschätzung und vorherige Konsultation

Ist eine Datenschutz-Folgenabschätzung erforderlich, stellt der Auftragsverarbeiter dem Verantwortlichen die nötigen Informationen über die Verarbeitung bereit und unterstützt ihn bei der Risikobewertung und, falls nötig, bei der Konsultation der Aufsichtsbehörde. Grundlage ist dieser Vertrag mit seinen Anlagen.

§ 13 Nachweise und Überprüfungen

13.1 Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen bereit, die dieser zum Nachweis der Einhaltung von Art. 28 DSGVO braucht.

13.2 Der Verantwortliche kann die Einhaltung dieses Vertrags überprüfen. Er kann Unterlagen und Auskünfte anfordern und Überprüfungen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Überprüfungen vor Ort kündigt er mindestens vier Wochen vorher an; sie finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb des Auftragsverarbeiters nicht unzumutbar stören. Die Kosten einer Überprüfung trägt der Verantwortliche, es sei denn, sie deckt einen erheblichen Verstoß des Auftragsverarbeiters auf.

§ 14 Haftung

14.1 Für Schäden, die betroffenen Personen entstehen, haften die Parteien nach Art. 82 DSGVO.

14.2 Im Verhältnis der Parteien zueinander gelten die Haftungsregeln der AGB, soweit Art. 82 DSGVO nicht entgegensteht.

§ 15 Vertraulichkeit

15.1 Zugang zu den Daten, zum Server, zur Datenbank und zu den Konten bei den Unterauftragsverarbeitern hat ausschließlich der Inhaber des Auftragsverarbeiters. Er ist zur Vertraulichkeit verpflichtet; die Pflicht gilt über das Ende dieses Vertrags hinaus.

15.2 Zieht der Auftragsverarbeiter weitere Personen hinzu, verpflichtet er sie vor dem ersten Zugang schriftlich oder in Textform zur Vertraulichkeit und unterweist sie in den Pflichten aus diesem Vertrag.

§ 16 Zustandekommen, Änderungen, Schlussbestimmungen

16.1 Dieser Vertrag ist ein Standardvertrag, der für alle Verantwortlichen gleich gilt. Er wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO): Er kommt zustande, indem der Verantwortliche bei der Registrierung auf der Plattform erklärt, dass er ihn annimmt. Eine Unterschrift ist nicht erforderlich. Der Auftragsverarbeiter hält als Nachweis fest: die Fassung dieses Vertrags, die Prüfsumme (SHA-256) des Vertragstexts, Art und Zeitpunkt der Erklärung, das Konto, mit dem die Erklärung abgegeben wurde, sowie IP-Adresse und Browserkennung. Der Vertrag ist jederzeit unter platform.twentyoneclo.com/avv abrufbar.

16.2 Der Auftragsverarbeiter kann diesen Vertrag ändern, insbesondere bei geänderter Rechtslage, geänderten Leistungen oder Anpassungen der Anlagen. Jede neue Fassung erhält eine Fassungsnummer, ein Datum und eine Prüfsumme. Der Auftragsverarbeiter teilt die neue Fassung dem Verantwortlichen per E-Mail an die Adresse des Hauptkontos mit und nennt die Änderungen. Änderungen, die nur Anlage 2 betreffen und das Schutzniveau nicht senken, oder Änderungen nach § 8.2 gelten mit der Mitteilung. Andere Änderungen gelten, wenn der Verantwortliche nicht innerhalb von vier Wochen nach Zugang der Mitteilung in Textform widerspricht; auf diese Folge weist die Mitteilung hin. Widerspricht er, gilt die bisherige Fassung weiter.

16.3 Frühere Fassungen bewahrt der Auftragsverarbeiter mit Fassungsnummer und Prüfsumme unverändert auf und stellt sie auf Anfrage bereit; keine Fassung wird nachträglich geändert.

16.4 Sollten einzelne Bestimmungen dieses Vertrags ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

16.5 Es gilt das Recht der Bundesrepublik Deutschland. Ist der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Gerichtsstand Stuttgart, soweit dies gesetzlich zulässig ist.

16.6 Die Anlagen 1 bis 3 sind Bestandteil dieses Vertrags. Dieser Vertrag geht den AGB in datenschutzrechtlichen Fragen vor; im Übrigen gelten die AGB.

§ 17 Abweichende Vereinbarungen

Abweichungen von diesem Standardvertrag oder Ergänzungen sind nur in einer gesonderten, schriftlich oder in Textform geschlossenen Vereinbarung möglich. Eine solche Vereinbarung kann keine Maßnahme zusagen, die der Auftragsverarbeiter nicht tatsächlich umsetzt.

---

Anlage 1 – Beschreibung der Verarbeitung

A. Gegenstand

Bereitstellung der Plattform mit CLO, Verwaltung, geführter Anmeldung, Videogesprächen, Team-Chat und E-Mail-Versand (§ 1.1).

B. Dauer

Für die Dauer des Hauptvertrags; danach Rückgabe und Löschung nach § 10.

C. Art der Daten je Verarbeitung

C2. Besonderheiten je Branche

Dieser Vertrag gilt gleichlautend für alle Branchen, für die die Plattform freigegeben ist; welche das sind, zeigt die Auswahl bei der Registrierung. Welche Branche für den Verantwortlichen gilt, steht in seinem Konto. Die folgenden Abschnitte beschreiben, was je Branche hinzukommt.

Fahrschulen. Zusätzliche Verarbeitungen: Theorie- und Kursanmeldungen; geführte Online-Anmeldung mit Geburtsdatum, Geburtsort, Anschrift, Führerscheinklasse, Vorerfahrung, Getriebe- und Prüfungswahl; Genehmigungsverfahren bei Minderjährigen mit Daten der Erziehungsberechtigten (Abschnitt E), auf Wunsch mit einem eigenen Dokument des Verantwortlichen in derselben Datei; auf Wunsch Bereitstellung einer Vertragsvorlage des Verantwortlichen an die anmeldende Person oder die Erziehungsberechtigten. Betroffene zusätzlich: Fahrschüler, Erziehungsberechtigte. Angaben zu Sehvermögen, Gesundheit oder Medikamenten können in Chat-Nachrichten, Vermerken und Stornogründen vorkommen; die Plattform fragt nicht danach und sieht dafür kein Feld vor. Die Anmeldung erhebt keine Gesundheitsdaten und keine Ausweisdaten.

Versicherungsvermittler. Zusätzliche Pflicht: Hinterlegen der Adresse der Erstinformation vor dem Einschalten von CLO; CLO verweist bei Fragen zu Status, Registrierung oder Erstinformation auf diese Seite. Keine geführte Anmeldung. Angaben zu Krankheiten, Vorerkrankungen oder Risiken können im Chat vorkommen und sind in dieser Branche wahrscheinlicher; CLO geht darauf nicht ein (nur bei Eingaben in deutscher Sprache, § 3.3). Kein Feld dafür.

Fitnessstudios. Zusätzliche Verarbeitungen: Probetraining mit freiwilliger Angabe, noch nicht volljährig zu sein, und Versand einer vom Verantwortlichen hinterlegten Einverständnisvorlage; geführte Anmeldung für Mitgliedschaften mit Mitgliedsart statt Führerscheinklasse. Betroffene zusätzlich: Interessenten am Probetraining, Mitglieder, Erziehungsberechtigte. Angaben zu Gesundheit und Fitness können im Chat vorkommen; kein Feld dafür.

Immobilienmakler. Zusätzliche Verarbeitung: Besichtigungstermine mit denselben Kontaktfeldern wie andere Termine. Keine geführte Anmeldung.

Für alle Branchen gleich: Chat mit CLO, Termine und Rückrufe, E-Mails im Namen des Verantwortlichen, Videogespräche, Konten der Mitarbeitenden, Team-Chat, Laden des Chat-Fensters.

D. Kategorien betroffener Personen

Website-Besucher und Interessenten des Verantwortlichen; Endkunden (zum Beispiel Fahrschüler oder Mitglieder); minderjährige Interessenten und Anmeldende; Erziehungsberechtigte; Teilnehmende an Videogesprächen; Mitarbeitende des Verantwortlichen.

E. Besondere Kategorien und Minderjährige

1. Kein Feld der Plattform ist für Gesundheitsdaten oder andere besondere Kategorien vorgesehen. Sie können in Freitextfeldern vorkommen (§ 3.2). Arbeitsvermerke und die Kopie des Chatverlaufs am Termin sind verschlüsselt gespeichert; Chat-Nachrichten sind es bis zur Umsetzung der geplanten Maßnahme in Anlage 2, Abschnitt 10, nicht.
2. Der Chat ist öffentlich zugänglich; Minderjährige sind nicht ausgeschlossen.
3. Bei der geführten Anmeldung prüft die Plattform das Mindestalter anhand des Geburtsdatums. Bei Minderjährigen erhebt sie Name, E-Mail-Adresse und Anschrift einer erziehungsberechtigten Person und sendet dieser im Auftrag des Verantwortlichen einen Link zu einem Dokument zur Genehmigung (72 Stunden gültig, höchstens fünf Abrufe, zuerst eine Seite ohne Wirkung); auf Wunsch des Verantwortlichen enthält die Datei zusätzlich dessen eigenes Dokument. Ist das Neu-Senden für den Verantwortlichen freigeschaltet, kann er diesen Link höchstens zweimal je Anmeldung neu senden; der vorherige Link wird dabei ungültig. Dieselbe Datei kann die anmeldende Person nach dem Absenden herunterladen. Ohne Genehmigung innerhalb von 14 Tagen verfällt die Anmeldung. Diese Prüfung wirkt in allen Sprachen.
4. Bei Fahrschulen können sich Minderjährige mit offener Anmeldung nicht zusätzlich zum Theorieunterricht anmelden.
5. Die Schutzfunktionen von CLO nach § 3.3 wirken nur bei Eingaben in deutscher Sprache.

---

Anlage 2 – Technische und organisatorische Maßnahmen

Stand: 22. Oktober 2026. Die Abschnitte 1 bis 9 nennen Maßnahmen, die umgesetzt sind. Abschnitt 10 nennt geplante Maßnahmen mit ihrem Umsetzungstermin.

1. Hosting und Zutritt

• Die Anwendung läuft auf einem Server des Hosting-Dienstleisters im Rechenzentrum Frankfurt am Main (Anlage 3). Der Auftragsverarbeiter betreibt keine eigenen Serverräume; den physischen Zutritt verantwortet der Hosting-Dienstleister.
• Die Datenbank ist eine vom Hosting-Dienstleister verwaltete PostgreSQL-Datenbank. Sie liegt ebenfalls in Frankfurt am Main und ist nur über ein privates Netz erreichbar, nicht aus dem Internet.

2. Zugang zur Plattform

• Passwörter haben mindestens 12 Zeichen und werden auf ihre Stärke geprüft. Neue Passwörter werden gegen bekannte Datenlecks geprüft; dabei verlässt nur ein kurzer Ausschnitt eines Prüfwerts den Server, nie das Passwort.
• Passwörter werden nur als bcrypt-Hash gespeichert.
• Zwei-Faktor-Authentifizierung (TOTP) steht für jedes Konto zur Verfügung.
• Nach fünf Fehlversuchen wird ein Konto für 15 Minuten gesperrt.
• Die Verwaltung meldet den Nutzer nach 30 Minuten ohne Aktivität im Browser ab. Das Anmeldetoken gilt serverseitig 15 Minuten und wird bei Aktivität erneuert.
• Sitzungs- und Einmaltoken werden nur als Hash gespeichert.

3. Zugang zum Server

• Anmeldung am Server nur mit kryptografischem Schlüssel, nicht mit Passwort; kein Root-Login; nur ein zugelassenes Benutzerkonto; begrenzte Zahl von Anmeldeversuchen je Verbindung; wiederholte Fehlversuche führen zur Sperre der Quelladresse.
• Eine Firewall ist aktiv. Nach außen sind nur die Ports für SSH, HTTP und HTTPS geöffnet; die Anwendung selbst ist nur über den Webserver auf demselben Rechner erreichbar.
• Die Anwendung läuft ohne Root-Rechte und mit eingeschränkten Systemrechten (kein Erwerb zusätzlicher Rechte, schreibgeschützte Systemverzeichnisse, abgeschottetes temporäres Verzeichnis, kein Zugriff auf Home-Verzeichnisse).
• Die Konfigurationsdatei mit den Geheimnissen ist nur für das Dienstkonto lesbar.
• Für die Anwendung und für Änderungen am Datenbankschema werden getrennte Datenbankbenutzer verwendet.

4. Zugriff und Rechte

• Rollen Hauptkonto, Administrator und Mitarbeiter mit einzeln vergebbaren Bereichen. Rollen vergibt nur das Hauptkonto des Verantwortlichen.
• Die Rechte werden bei jedem Aufruf anhand der Datenbank geprüft.

5. Verschlüsselung und Weitergabe

• Verbindungen zwischen Browser und Plattform sind mit TLS 1.2 oder 1.3 verschlüsselt; HTTP wird auf HTTPS umgeleitet; HSTS ist aktiv.
• Die Verbindung zur Datenbank ist verschlüsselt.
• Verbindungen zu den Unterauftragsverarbeitern laufen über HTTPS; E-Mails werden mit Transportverschlüsselung übergeben.
• In der Datenbank verschlüsselt gespeichert sind: Kontaktdaten zu Terminen und Anfragen, Anmeldedaten einschließlich Geburtsdatum, Anschrift und Angaben zu Erziehungsberechtigten, Arbeitsvermerke, Kopie und Zusammenfassung des Chatverlaufs am Termin, Nachrichten und Anhänge des Team-Chats, Profilbilder, hochgeladene Dokumente und Vorlagen des Verantwortlichen, persönliche Termine, Geheimnisse der Zwei-Faktor-Authentifizierung.
• Nachrichten des Besucher-Chats werden derzeit unverschlüsselt in der Datenbank gespeichert und nach 30 Tagen gelöscht.
• Das Logo, das der Verantwortliche für das Chat-Fenster hochlädt, wird unverschlüsselt in der Datenbank gespeichert und ohne Anmeldung ausgeliefert, damit das Chat-Fenster es anzeigen kann; personenbezogene Daten sind darin nicht vorgesehen.
• Bilder, die Besucher im Chat senden, werden nur für die jeweilige Antwort an den Anbieter des Sprachmodells übermittelt und vom Auftragsverarbeiter nicht gespeichert.
• Videogespräche werden nicht aufgezeichnet; Bild und Ton werden verschlüsselt übertragen. Der Vermittlungsserver sieht nur IP-Adressen und verschlüsselte Datenpakete.

6. Nachvollziehbarkeit

• Veränderungen und sicherheitsrelevante Ereignisse (unter anderem Anmeldungen, Fehlversuche, Rechteänderungen, Löschungen, Zugriffsversuche auf fremde Daten) werden in einem Protokoll mit Zuordnung zur handelnden Person festgehalten. Lesezugriffe werden nicht allgemein protokolliert.
• IP-Adressen stehen in diesem Protokoll nur pseudonymisiert; bei IPv6-Adressen wird nur das /64-Netz pseudonymisiert. Das Protokoll wird 365 Tage aufbewahrt.
• Der Webserver führt ein Zugriffsprotokoll mit IP-Adresse im Klartext, das nach 14 Tagen gelöscht wird.

7. Mandantentrennung

• Die Daten der Verantwortlichen liegen in einer gemeinsamen Datenbank und werden auf Anwendungsebene getrennt: Die Zuordnung zum Verantwortlichen stammt ausschließlich aus der signierten Anmeldung, jede Datenbankabfrage wird automatisch auf diesen Verantwortlichen beschränkt, und die Trennung ist durch automatisierte Tests abgesichert.

8. Verfügbarkeit und Pflege

• Das Betriebssystem des Servers erhält Sicherheitsupdates automatisch.
• Die eingesetzten Software-Bibliotheken werden vor jeder Auslieferung auf bekannte Schwachstellen geprüft; diese Prüfung wird manuell angestoßen.
• Anfragen werden je Absender begrenzt; hochgeladene Dateien werden auf Größe und Typ geprüft; Dokumente, die an Kunden des Verantwortlichen gehen, werden in einem abgeschotteten Prozess neu aufgebaut, um aktive Inhalte zu entfernen.
• Auffällige Nutzung von CLO (sehr viele Anfragen oder neue Sitzungen, Erreichen eines Tagesdeckels, dieselbe Nachricht in kurzer Folge von einer pseudonymisierten Adresse) wird je Verantwortlichem erkannt; die Plattform kann Anfragen dieser Adresse für bis zu drei Stunden unbeantwortet lassen. Dafür werden nur das Pseudonym der Adresse, Grund und Frist gespeichert und stündlich bereinigt; Zähler liegen nur im Arbeitsspeicher. Der Aufwand beim Sprachmodell ist je Verantwortlichem und Tag begrenzt; wird die Grenze erreicht, pausiert CLO für diesen Verantwortlichen bis zum Tagesende. Je Chat-Sitzung und je Adresse gelten Obergrenzen für Anfragen und Credits, gestaffelt nach Tarif.
• Zertifikate für die verschlüsselten Verbindungen werden automatisch erneuert.

9. Löschung

• Die Plattform enthält einen täglichen Löschlauf, der die in Anlage 1 genannten Fristen umsetzt.

10. Geplante Maßnahmen

Die folgenden Maßnahmen setzt der Auftragsverarbeiter bis zum 30. November 2026 um:

a) verschlüsselte Speicherung der Nachrichten und Verläufe des Besucher-Chats in der Datenbank;
b) automatisierte Löschung der Daten eines Verantwortlichen nach Vertragsende (§ 10);
c) Überwachung der regelmäßigen Hintergrundaufgaben, insbesondere des Löschlaufs, Rotation der Protokolle der Anwendung und Sicherung der Schlüssel an einem zweiten, geschützten Ort;
d) eigenes Dienstkonto für die Anwendung, getrennt vom Administrationskonto.

Bis zur Umsetzung gilt: Nachrichten des Besucher-Chats werden unverschlüsselt gespeichert und nach 30 Tagen gelöscht; die Löschung nach Vertragsende nimmt der Auftragsverarbeiter manuell vor. Nach der Umsetzung teilt der Auftragsverarbeiter dies per E-Mail an die Adresse des Hauptkontos mit; einer Zustimmung bedarf es nicht, weil das Schutzniveau nicht sinkt (§ 7.2, § 16.2).

---

Anlage 3 – Unterauftragsverarbeiter

Stand: 6. Oktober 2026. Änderungen werden nach § 8.2 mitgeteilt.

Weitere Dienste, die keine Daten im Auftrag des Verantwortlichen verarbeiten: