AUFTRAGSVERARBEITUNG

Vereinbarung zur Auftragsverarbeitung

gemäß Art. 28 DSGVO – evadox.io

Version 1.0 – Stand: 25.08.2026

zwischen

dem jeweiligen Nutzer bzw. Kunden von evadox.io, soweit dieser Verantwortlicher im Sinne der DSGVO ist

– nachfolgend „Auftraggeber“ –

und

Marvin Berndt, handelnd unter evadox.io

Neustädter Str. 29

39539 Havelberg

Deutschland

Telefon: 0162 4868 853

E-Mail: kontakt@evadox.io

– nachfolgend „Auftragnehmer“ oder „evadox.io“ –

gemeinsam auch „Parteien“.



1. Gegenstand und Anwendungsbereich

1. Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch evadox.io im Auftrag des Auftraggebers gemäß Art. 28 DSGVO.

2. Sie gilt, soweit der Auftraggeber im Rahmen der Nutzung von evadox.io personenbezogene Daten verarbeitet, für die er datenschutzrechtlich Verantwortlicher ist, und evadox.io diese Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers verarbeitet.

3. Diese Vereinbarung ergänzt die zwischen den Parteien bestehende Nutzungsvereinbarung für evadox.io.

4. Soweit evadox.io personenbezogene Daten für eigene Zwecke und in eigener datenschutzrechtlicher Verantwortlichkeit verarbeitet, insbesondere zur Verwaltung des eigenen Vertragsverhältnisses, zur IT-Sicherheit oder zur Erfüllung eigener gesetzlicher Pflichten, findet diese Vereinbarung auf diese Verarbeitung keine Anwendung.

5. Bei rein persönlichen oder familiären Tätigkeiten, die gemäß Art. 2 Abs. 2 lit. c DSGVO nicht in den Anwendungsbereich der DSGVO fallen, ist der Abschluss einer Auftragsverarbeitungsvereinbarung nicht erforderlich.



2. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand der Auftragsverarbeitung ist die technische Bereitstellung der webbasierten Softwarelösung evadox.io sowie die damit verbundene Verarbeitung der vom Auftraggeber eingestellten oder durch dessen Nutzung erzeugten personenbezogenen Daten.

Die Verarbeitung kann insbesondere folgende Vorgänge umfassen:

Erheben beziehungsweise Entgegennehmen,

Erfassen,

Speichern,

Strukturieren,

Ordnen,

Zuordnen,

Anzeigen,

Bearbeiten,

technisch bedingtes Vervielfältigen,

Abrufen,

Bereitstellen,

Übermitteln auf Weisung des Auftraggebers,

Erstellen von Dokumentationen und Exporten,

Sichern,

Wiederherstellen,

Einschränken sowie

Löschen.

Zweck der Verarbeitung ist ausschließlich die Bereitstellung der vom Auftraggeber genutzten Funktionen von evadox.io, insbesondere zur digitalen Bestands-, Projekt- und Dokumentationserfassung sowie zur Verwaltung und Ausgabe der vom Auftraggeber eingestellten Informationen und Dateien.

evadox.io verarbeitet die Daten nicht für eigene, mit den Weisungen des Auftraggebers unvereinbare Zwecke.

​

3. Dauer der Verarbeitung

1. Die Verarbeitung erfolgt grundsätzlich für die Dauer des zwischen den Parteien bestehenden Nutzungsverhältnisses.

2. Während der kostenlosen Pilotphase richtet sich die Dauer grundsätzlich nach dem vereinbarten Pilotzeitraum.

3. Nach Beendigung des Nutzungsverhältnisses werden personenbezogene Daten des Auftraggebers nach dessen Wahl zurückgegeben beziehungsweise zum Export bereitgestellt und anschließend gelöscht, soweit keine gesetzliche Verpflichtung oder sonstige zulässige Rechtsgrundlage zu einer weiteren Speicherung besteht.

4. Einzelheiten zu Export-, Sicherungs- und Löschfristen richten sich ergänzend nach der Nutzungsvereinbarung und den technisch bereitgestellten Funktionen.

5. Datenträger, Sicherungskopien und technische Backups werden im Rahmen der jeweils geltenden technischen Lösch- und Überschreibzyklen gelöscht, sofern eine sofortige selektive Löschung technisch nicht möglich ist. Bis zur endgültigen Löschung dürfen diese Daten nicht für andere Zwecke verarbeitet werden.

​

4. Kategorien betroffener Personen

Je nach Nutzung durch den Auftraggeber können insbesondere personenbezogene Daten folgender Personengruppen verarbeitet werden:

Auftraggeber,

Mitarbeiter und Nutzer des Auftraggebers,

Auftraggeber beziehungsweise Kunden des Auftraggebers,

Eigentümer von Grundstücken oder Gebäuden,

Bewohner und Mieter,

Bauherren,

Auftragnehmer und Nachunternehmer,

Planer,

Architekten,

Ingenieure,

Sachverständige,

Bauleiter und Bauüberwacher,

Ansprechpartner von Unternehmen und Behörden,

Projektbeteiligte,

Grundstücksnachbarn,

Besucher oder sonstige auf Bildaufnahmen erkennbare Personen sowie

sonstige Personen, deren personenbezogene Daten der Auftraggeber bestimmungsgemäß in evadox.io verarbeitet.



5. Kategorien personenbezogener Daten

Abhängig von der Nutzung durch den Auftraggeber können insbesondere folgende Daten verarbeitet werden:

​

Stammdaten

Name,

Vorname,

Anschrift,

Firmenzugehörigkeit,

Funktion beziehungsweise Tätigkeit.



Kontaktdaten

E-Mail-Adresse,

Telefonnummer,

sonstige Kommunikationsdaten.



Objekt- und Projektdaten

Grundstücks- und Gebäudeadressen,

Objektbezeichnungen,

Projektzuordnungen,

Lageinformationen,

Angaben zu Eigentums-, Nutzungs- oder Beteiligungsverhältnissen, soweit vom Auftraggeber eingestellt.



Bild- und Dokumentationsdaten

Fotografien,

Video- oder Bilddateien, soweit entsprechende Funktionen bereitgestellt werden,

auf Bildern erkennbare Personen,

Fahrzeugkennzeichen,

Unterschriften, soweit durch den Auftraggeber verarbeitet,

Dokumente und Anlagen,

textliche Zustandsbeschreibungen,

sonstige projektbezogene Informationen.



Kommunikations- und Dokumentendaten

Schriftverkehr,

Protokolle,

Berichte,

Freigaben,

Kommentare,

vom Auftraggeber hochgeladene Dokumente.



Technische Zuordnungsdaten

Nutzerkennungen,

Zeitstempel,

Datei- und Projektzuordnungen,

erforderliche Protokollinformationen.



6. Besondere Kategorien personenbezogener Daten

1. Die bestimmungsgemäße Nutzung von evadox.io erfordert grundsätzlich keine Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO.

2. Der Auftraggeber soll solche Daten nur verarbeiten, wenn dies für seinen jeweiligen Verarbeitungszweck erforderlich und datenschutzrechtlich zulässig ist.

3. Soweit der Auftraggeber besondere Kategorien personenbezogener Daten verarbeitet, bleibt er für das Vorliegen einer hierfür erforderlichen Rechtsgrundlage verantwortlich.

4. Soweit evadox.io hiervon Kenntnis erlangt und die Verarbeitung technisch innerhalb des vereinbarten Leistungsumfangs liegt, werden diese Daten ausschließlich entsprechend den dokumentierten Weisungen des Auftraggebers verarbeitet.

​

7. Verantwortung des Auftraggebers

1. Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die von ihm veranlasste Verarbeitung.

2. Der Auftraggeber ist insbesondere verantwortlich für:

die Rechtmäßigkeit der Datenerhebung und -verarbeitung,

das Vorliegen geeigneter Rechtsgrundlagen,

die Einhaltung der Grundsätze des Art. 5 DSGVO,

die Erfüllung der Informationspflichten gegenüber betroffenen Personen,

die Wahrung der Rechte betroffener Personen,

die Zulässigkeit der Übermittlung personenbezogener Daten an evadox.io,

die Festlegung von Zweck und Dauer der Verarbeitung sowie

die Rechtmäßigkeit seiner Weisungen.

3. Der Auftraggeber darf evadox.io keine Weisungen erteilen, die gegen geltendes Datenschutzrecht verstoßen.

​

8. Weisungsgebundenheit von evadox.io

1. evadox.io verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit nicht eine gesetzliche Verpflichtung nach dem Recht der Europäischen Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet.

2. Die bestimmungsgemäße Nutzung der Funktionen von evadox.io sowie die Regelungen dieser Vereinbarung und der Nutzungsvereinbarung gelten als dokumentierte Weisungen.

3. Weitere Weisungen können vom Auftraggeber in Textform, insbesondere per E-Mail, erteilt werden.

4. Hält evadox.io eine Weisung für datenschutzrechtlich unzulässig, wird der Auftraggeber hierüber unverzüglich informiert.

5. evadox.io ist berechtigt, die Ausführung einer erkennbar rechtswidrigen Weisung auszusetzen, bis diese vom Auftraggeber bestätigt, geändert oder zurückgenommen wurde, soweit eine Aussetzung rechtlich zulässig ist.

​

9. Vertraulichkeit

1. evadox.io stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten befugt sind, zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

2. Zugriffsrechte werden nur soweit eingeräumt, wie dies zur Erfüllung der jeweiligen Aufgaben erforderlich ist.

3. Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit fort.

4. Personenbezogene Daten des Auftraggebers dürfen nicht unbefugt an Dritte weitergegeben werden.

​

10. Technische und organisatorische Maßnahmen

1. evadox.io trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO.

2. Die Maßnahmen dienen insbesondere dazu, ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

3. Sie können insbesondere umfassen:

Zugriffskontrollen,

Zugangskontrollen,

Berechtigungskonzepte,

Authentifizierungsmaßnahmen,

verschlüsselte Datenübertragung,

Schutz gespeicherter Daten,

Protokollierung sicherheitsrelevanter Vorgänge,

Datensicherungs- und Wiederherstellungsverfahren,

Maßnahmen zur Sicherstellung der Verfügbarkeit und Belastbarkeit,

Schutz vor unberechtigtem Zugriff,

Verfahren zur Erkennung und Behandlung von Sicherheitsvorfällen,

Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Sicherheitsmaßnahmen sowie

organisatorische Regelungen zum Umgang mit personenbezogenen Daten.

4. Die zum jeweiligen Zeitpunkt tatsächlich umgesetzten technischen und organisatorischen Maßnahmen werden in Anlage 2 – Technische und organisatorische Maßnahmen beschrieben.

5. evadox.io darf technische und organisatorische Maßnahmen an den technischen Fortschritt anpassen, sofern das vereinbarte Schutzniveau dadurch nicht unterschritten wird.

​

11. Weitere Auftragsverarbeiter

1. Der Auftraggeber erteilt evadox.io die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen, soweit dies für die Bereitstellung von evadox.io erforderlich ist.

2. Die jeweils eingesetzten weiteren Auftragsverarbeiter werden in Anlage 3 – Unterauftragnehmer aufgeführt beziehungsweise über eine von evadox.io bekannt gegebene aktuelle Liste dokumentiert.

3. evadox.io informiert den Auftraggeber über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter rechtzeitig vor der Änderung.

4. Der Auftraggeber erhält Gelegenheit, aus sachlich gerechtfertigten datenschutzrechtlichen Gründen gegen die Änderung Widerspruch einzulegen.

5. Mit weiteren Auftragsverarbeitern werden Vereinbarungen geschlossen, die im Wesentlichen dieselben Datenschutzpflichten vorsehen, die evadox.io aufgrund dieser Vereinbarung treffen.

6. evadox.io bleibt gegenüber dem Auftraggeber für die Erfüllung der datenschutzrechtlichen Verpflichtungen der eingesetzten weiteren Auftragsverarbeiter verantwortlich.

​

12. Verarbeitung in Drittstaaten

1. Eine Verarbeitung personenbezogener Daten außerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

2. Dies kann insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder geeigneter Garantien gemäß Art. 46 DSGVO erfolgen.

3. Werden Standardvertragsklauseln der Europäischen Kommission eingesetzt, trifft evadox.io erforderlichenfalls zusätzliche technische, organisatorische oder vertragliche Schutzmaßnahmen.

4. Tatsächlich bestehende Drittlandverarbeitungen werden in der Unterauftragnehmerübersicht transparent ausgewiesen.

​

13. Unterstützung bei Betroffenenrechten

1. evadox.io unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen angemessen bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen.

2. Dies betrifft insbesondere Rechte auf:

Auskunft,

Berichtigung,

Löschung,

Einschränkung der Verarbeitung,

Datenübertragbarkeit und

Widerspruch.

3. Wendet sich eine betroffene Person unmittelbar an evadox.io und betrifft das Ersuchen ausschließlich Daten, die im Auftrag eines Kunden verarbeitet werden, wird evadox.io das Ersuchen grundsätzlich an den Auftraggeber weiterleiten.

4. evadox.io wird entsprechende Anträge nicht ohne Weisung des Auftraggebers abschließend beantworten, soweit nicht eine eigene gesetzliche Verpflichtung besteht.

​

14. Unterstützung bei Datenschutzpflichten

evadox.io unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen angemessen bei der Einhaltung seiner Pflichten gemäß Art. 32 bis 36 DSGVO.

Dies betrifft insbesondere:

die Sicherheit der Verarbeitung,

die Bewertung von Datenschutzverletzungen,

erforderliche Meldungen an Aufsichtsbehörden,

erforderliche Benachrichtigungen betroffener Personen,

Datenschutz-Folgenabschätzungen sowie

gegebenenfalls vorherige Konsultationen mit Datenschutzaufsichtsbehörden.



15. Verletzungen des Schutzes personenbezogener Daten

1. evadox.io informiert den Auftraggeber unverzüglich, nachdem eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit Daten betroffen sind, die im Auftrag des Auftraggebers verarbeitet werden.

2. Die Mitteilung enthält, soweit zum Zeitpunkt der Meldung verfügbar, insbesondere Informationen über:

Art des Vorfalls,

betroffene Daten,

betroffene Personengruppen,

voraussichtliche Folgen,

bereits ergriffene oder vorgesehene Gegenmaßnahmen sowie

einen Ansprechpartner für Rückfragen.

3. Sind zunächst nicht alle Informationen verfügbar, können diese schrittweise ergänzt werden.

4. Die Entscheidung darüber, ob eine Meldung nach Art. 33 DSGVO oder Benachrichtigung nach Art. 34 DSGVO erforderlich ist, obliegt grundsätzlich dem Auftraggeber als Verantwortlichem.

​

16. Kontroll- und Nachweispflichten

1. evadox.io stellt dem Auftraggeber alle Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Verpflichtungen aus Art. 28 DSGVO nachzuweisen.

2. evadox.io ermöglicht angemessene Überprüfungen und Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer.

3. Prüfungen sollen grundsätzlich:

rechtzeitig angekündigt werden,

während üblicher Geschäftszeiten stattfinden,

den Geschäftsbetrieb nicht unangemessen beeinträchtigen und

dem Schutz der Daten anderer Kunden sowie Betriebs- und Geschäftsgeheimnissen Rechnung tragen.

4. Soweit geeignete aktuelle Zertifizierungen, Auditberichte oder vergleichbare Nachweise vorliegen, können diese vorrangig zur Erfüllung der Kontrollpflichten bereitgestellt werden.

5. Unangemessene Einschränkungen gesetzlich vorgeschriebener Kontrollrechte sind hiermit nicht verbunden.

​

17. Datenschutzaufsichtsbehörden

1. evadox.io arbeitet im gesetzlich erforderlichen Umfang mit den zuständigen Datenschutzaufsichtsbehörden zusammen.

2. Behördliche Anfragen, die unmittelbar die Auftragsverarbeitung für den Auftraggeber betreffen, werden dem Auftraggeber grundsätzlich unverzüglich mitgeteilt, soweit eine solche Information gesetzlich zulässig ist.

​

18. Rückgabe und Löschung nach Vertragsende

1. Nach Abschluss der Verarbeitung löscht evadox.io nach Wahl des Auftraggebers die personenbezogenen Daten oder stellt sie dem Auftraggeber zur Rückgabe beziehungsweise zum Export bereit, soweit keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.

2. Der Auftraggeber ist verpflichtet, ihm zur Verfügung gestellte Exportmöglichkeiten innerhalb der vorgesehenen Frist zu nutzen.

3. Nach Ablauf der vereinbarten beziehungsweise technisch mitgeteilten Exportfrist kann evadox.io die betreffenden Daten löschen.

4. Personenbezogene Daten in technischen Sicherungskopien werden im Rahmen der regulären Sicherungs- und Überschreibzyklen gelöscht.

5. Bis zur Löschung dürfen entsprechende Sicherungsdaten nur für Sicherungs- und Wiederherstellungszwecke verarbeitet werden.

6. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

​

19. Verzeichnis von Verarbeitungstätigkeiten

evadox.io führt, soweit gesetzlich erforderlich, ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO.

​

20. Datenschutzbeauftragter und Ansprechpartner

Soweit für evadox.io gesetzlich die Benennung eines Datenschutzbeauftragten erforderlich ist, werden dessen Kontaktdaten über evadox.io bekannt gegeben.

Bis dahin können datenschutzrechtliche Anfragen gerichtet werden an:

kontakt@evadox.io

​

21. Haftung

1. Für die Haftung der Parteien bei Datenschutzverstößen gelten insbesondere die gesetzlichen Regelungen der DSGVO, einschließlich Art. 82 DSGVO, sowie die sonstigen anwendbaren gesetzlichen Vorschriften.

2. Die interne Verantwortungsverteilung richtet sich danach, welche Partei die jeweilige Pflichtverletzung zu vertreten hat und welchem Verantwortungsbereich sie zuzuordnen ist.

3. Zwingende Ansprüche betroffener Personen werden durch diese Vereinbarung nicht eingeschränkt.

​

22. Rangfolge

1. Diese Vereinbarung ergänzt die Nutzungsvereinbarung von evadox.io.

2. Im Falle eines Widerspruchs zwischen dieser Vereinbarung und der allgemeinen Nutzungsvereinbarung gehen hinsichtlich der Verarbeitung personenbezogener Daten im Auftrag die Bestimmungen dieser Vereinbarung vor.

3. Individuell vereinbarte datenschutzrechtliche Regelungen gehen dieser Vereinbarung vor, soweit sie den gesetzlichen Anforderungen entsprechen.

​

23. Laufzeit und Beendigung

1. Diese Vereinbarung tritt mit Beginn einer Auftragsverarbeitung im Rahmen von evadox.io in Kraft.

2. Sie gilt für die Dauer, in der evadox.io personenbezogene Daten im Auftrag des Auftraggebers verarbeitet.

3. Sie endet grundsätzlich mit vollständiger Löschung beziehungsweise Rückgabe der im Auftrag verarbeiteten personenbezogenen Daten.

4. Verpflichtungen, die ihrer Natur nach über das Vertragsende hinaus gelten, insbesondere Vertraulichkeitspflichten, bleiben bestehen.

​

24. Form und elektronischer Abschluss

1. Diese Vereinbarung kann elektronisch abgeschlossen und dokumentiert werden.

2. Wird sie elektronisch in den Registrierungs- oder Nutzungsprozess von evadox.io einbezogen, dokumentiert evadox.io insbesondere:

die Identität beziehungsweise Benutzerzuordnung,

Zeitpunkt der Zustimmung,

die akzeptierte Version dieser Vereinbarung sowie

die zu diesem Zeitpunkt geltenden Anlagen.

3. Änderungen wesentlicher datenschutzrechtlicher Vertragsbestandteile werden dem Auftraggeber in geeigneter Weise mitgeteilt.

4. Soweit eine Änderung einer erneuten Zustimmung bedarf, wird diese vor ihrem Wirksamwerden eingeholt.

​

Anlage 1 – Beschreibung der Auftragsverarbeitung

​

A. Gegenstand

Bereitstellung und Betrieb der webbasierten Softwarelösung evadox.io zur digitalen Projekt-, Bestands- und Dokumentationsverarbeitung.

​

B. Zweck

Technische Verarbeitung, Speicherung, Strukturierung, Verwaltung, Bearbeitung und Ausgabe der vom Auftraggeber bereitgestellten personenbezogenen Daten im Rahmen der von evadox.io bereitgestellten Funktionen.

​

C. Dauer

Für die Dauer des jeweiligen Nutzungsverhältnisses einschließlich des erforderlichen Zeitraums für Export, Rückgabe und anschließende Löschung.

​

D. Verarbeitungsvorgänge

Insbesondere:

Erfassen,

Speichern,

Strukturieren,

Zuordnen,

Bearbeiten,

Anzeigen,

Bereitstellen,

Exportieren,

Sichern,

Wiederherstellen,

Übertragen auf Weisung des Auftraggebers und

Löschen.



E. Betroffene Personen

Insbesondere:

Nutzer und Mitarbeiter des Auftraggebers,

Kunden und Auftraggeber,

Eigentümer,

Bewohner und Mieter,

Projektbeteiligte,

Bauherren,

Auftragnehmer,

Planer,

Sachverständige,

Ansprechpartner sowie

sonstige in Projektunterlagen enthaltene natürliche Personen.



F. Datenarten

Insbesondere:

Stammdaten,

Kontaktdaten,

Objekt- und Adressdaten,

Projektdaten,

Fotografien und Bilddaten,

Dokumente,

Kommunikationsdaten,

technische Zuordnungsdaten und

sonstige vom Auftraggeber bestimmungsgemäß eingestellte personenbezogene Daten.



Anlage 2 – Technische und organisatorische Maßnahmen

​

1. Zutrittskontrolle

Maßnahmen zur Verhinderung des unbefugten physischen Zugangs zu Systemen, soweit evadox.io hierauf Einfluss hat.



2. Zugangskontrolle

individuelle Benutzerkonten,

sichere Authentifizierung,

Passwortanforderungen,

Schutz gegen unbefugte Anmeldeversuche,

sichere Sitzungsverwaltung.



3. Zugriffskontrolle

rollenbasierte Berechtigungen,

Mandantentrennung,

Zugriff ausschließlich auf erforderliche Daten,

administrative Berechtigungskonzepte.



4. Übertragungssicherheit

verschlüsselte Datenübertragung nach aktuellem Stand der Technik,

geschützte Kommunikationsverbindungen,

abgesicherte Schnittstellen.



5. Speicherschutz

Verschlüsselung gespeicherter Daten, soweit eingesetzt,

Schutz der Datenspeicher,

Zugriffsbeschränkungen,

Mandantentrennung.



6. Verfügbarkeit und Wiederherstellung

Datensicherung,

Backups,

Wiederherstellungsverfahren,

Maßnahmen gegen Datenverlust,

angemessene Redundanz.



7. Protokollierung und Sicherheitsüberwachung

Protokollierung sicherheitsrelevanter Ereignisse,

Erkennung unbefugter Zugriffe,

Fehler- und Sicherheitsmonitoring,

Verfahren zur Reaktion auf Sicherheitsvorfälle.



8. Organisationskontrolle

Berechtigungskonzepte,

Vertraulichkeitsverpflichtungen,

Verfahren für Sicherheitsvorfälle,

Prüfung eingesetzter Dienstleister,

regelmäßige Überprüfung der Sicherheitsmaßnahmen.



9. Datenschutzfreundliche Voreinstellungen

Soweit technisch einschlägig werden Funktionen so ausgestaltet, dass nur die für den jeweiligen Zweck erforderlichen personenbezogenen Daten verarbeitet werden.



Die konkrete TOM-Dokumentation wird nach Abschluss der technischen Bestandsaufnahme von evadox.io Bestandteil dieser Anlage.



Anlage 3 – Weitere Auftragsverarbeiter

​

Für jeden eingesetzten weiteren Auftragsverarbeiter sind mindestens zu dokumentieren:

vollständiger Unternehmensname,

Anschrift beziehungsweise Sitz,

erbrachte Leistung,

Art der verarbeiteten personenbezogenen Daten,

Verarbeitungsort,

gegebenenfalls Drittland,

Grundlage einer Drittlandübermittlung und

gegebenenfalls weitere eingesetzte Unterauftragnehmer.

Aktuelle Unterauftragnehmer

[wird nach technischer Prüfung des tatsächlichen Hosting-, Login-, E-Mail-, Speicher-, Monitoring- und Infrastruktur-Stacks von evadox.io ergänzt]



Anlage 4 – Ansprechpartner und Weisungen

​

Auftragnehmer

Marvin Berndt, handelnd unter evadox.io

Neustädter Str. 29

39539 Havelberg

Deutschland

Telefon: 0162 4868 853

E-Mail: kontakt@evadox.io

Auftraggeber

Unternehmen / Name: [wird bei Vertragsschluss erfasst]

Anschrift: [wird bei Vertragsschluss erfasst]

Ansprechpartner: [wird bei Vertragsschluss erfasst]

E-Mail-Adresse: [wird bei Vertragsschluss erfasst]

Weisungen können insbesondere über die Funktionen von evadox.io oder in Textform an kontakt@evadox.io erteilt werden.