Präambel und Geltungsbereich
Der Beschaffungsassistent ist eine webbasierte Software-as-a-Service-Lösung zur Unterstützung von Beschaffungs- und Vergabeprozessen, insbesondere für Bedarfserfassung, Markterkundung, Erstellung und Dokumentation von Vergabeunterlagen, vergaberechtliche Informationsunterstützung, Durchführung von Vergaben und Direktaufträgen, Führung von Vergabeakten, Verwaltung von Verträgen, Meetings sowie zugehörige Export-, Integrations- und Supportfunktionen.
Diese AGB und Nutzungsbedingungen regeln die Nutzung des Beschaffungsassistenten durch Unternehmer, juristische Personen des öffentlichen Rechts und öffentlich-rechtliche Sondervermögen. Verbraucher im Sinne des § 13 BGB sind ausgeschlossen.
Anbieter, Vertragsschluss und Vertragsdokumente
Anbieter des Beschaffungsassistenten ist die PPI Public Procurement Intelligence GmbH, Am alten Sportplatz 11, 52499 Baesweiler, Deutschland, vertreten durch den Geschäftsführer Lucas Spänhoff.
Der Vertrag kommt grundsätzlich über den Online-Bestellprozess auf der Preiseseite, durch Registrierung, Auswahl eines Pakets bzw. einer Lizenzanzahl und anschließende Annahme durch Freischaltung des Organisationsaccounts oder durch gesonderte Auftragsbestätigung in Textform zustande. Vertragspartner auf Kundenseite ist die im Bestellprozess angegebene Organisation; sie ist zugleich Rechnungsempfängerin.
Vertragsbestandteile sind in folgender Rangfolge:
- eine individuell vereinbarte Auftragsbestätigung oder ausdrücklich einbezogene Individualvereinbarung;
- sofern ausdrücklich vereinbart: einbezogene EVB-IT-Cloud-Unterlagen;
- diese AGB und Nutzungsbedingungen;
- die Anlagen zu dieser Seite (SLA, AVV, TOM).
Leistungsgegenstand
Der konkrete Leistungsumfang bestimmt sich nach dem im Bestellprozess gewählten Paket, Modulumfang, Abrechnungsmodell und der gebuchten Anzahl von Nutzerlizenzen. Je nach Buchung können insbesondere folgende Funktionsbereiche enthalten sein:
- Bedarfserfassung,
- Markterkundung,
- Vergabeunterlagen,
- vergaberechtliche Informationsunterstützung,
- Vergabe, Direktauftrag und Vergabeakte,
- Vertragsmanagement, Fristen und Dokumentationsprozesse,
- Anbieterportal-, Upload-, Veröffentlichungs- und Einreichungsfunktionen,
- Meetings, Transkription und Zusammenfassungen,
- Community-Funktionen,
- Export-, Dokumentations- und Integrationsfunktionen.
KI-gestützte Inhalte, Analysen, Zusammenfassungen und Vorschläge dienen ausschließlich der fachlichen Unterstützung. Sie stellen weder Rechtsberatung noch eine verbindliche vergaberechtliche Prüfung dar. Die Verantwortung für die inhaltliche, fachliche und rechtliche Prüfung verbleibt beim Auftraggeber.
Registrierung, Organisationsaccount und Nutzerlizenzen
Die Nutzung des Beschaffungsassistenten erfordert eine Registrierung mit wahrheitsgemäßen, aktuellen und vollständigen Angaben. Jede Registrierung erfolgt im Namen einer Organisation. Mit Abschluss der Registrierung wird ein Organisationsaccount angelegt; der registrierende Nutzer erhält einen persönlichen Benutzeraccount und wird zunächst als Administrator seiner Organisation geführt.
Der Auftraggeber legt im Bestell- oder Registrierungsprozess ein Lizenzkontingent fest. Eine einzelne Administrator-Lizenz kann im Organisationsaccount enthalten sein. Weitere Nutzerlizenzen können je nach Bedarf hinzugebucht werden. Jede Nutzerlizenz berechtigt genau eine natürliche Person zur Nutzung. Die Weitergabe von Zugangsdaten oder das Teilen eines Accounts ist unzulässig.
Der Organisationsadministrator kann weitere Nutzer einladen, Rollen zuweisen, Projektzugriffe steuern und Benutzer deaktivieren oder entfernen, soweit nicht Schutzmechanismen – etwa beim letzten verbleibenden Administrator – entgegenstehen.
Vertragslaufzeit, Abrechnung, Testphase und Kündigung
Soweit im Bestellprozess nichts anderes angegeben ist, läuft der Nutzungsvertrag auf unbestimmte Zeit und wird entsprechend des gewählten Abrechnungsmodells monatlich oder jährlich vergütet. Sofern angeboten, kann eine zeitlich beschränkte Testphase unentgeltlich bereitgestellt werden.
Bei monatlicher Abrechnung ist der Vertrag mit einer Frist von einem Monat zum Monatsende kündbar. Bei jährlicher Abrechnung gilt die jeweils gebuchte Jahreslaufzeit; eine Kündigung wirkt zum Ablauf der laufenden Vertragsperiode, sofern im Bestellprozess nichts Abweichendes geregelt ist.
Lizenzanpassungen können innerhalb der Account-Verwaltung oder auf einem anderen bereitgestellten Weg vorgenommen werden. Lizenzaufstockungen können sofort oder zum nächsten Abrechnungszeitpunkt wirksam werden; Lizenzreduktionen werden grundsätzlich zum Beginn des nächsten Abrechnungszeitraums wirksam, sofern in zwingenden Fällen keine andere technische oder abrechnungstechnische Behandlung vorgesehen ist.
Preisanpassungen
Der Anbieter ist berechtigt und bei Kostensenkungen verpflichtet, die vereinbarte wiederkehrende Vergütung für künftige Abrechnungs- oder Verlängerungsperioden nach billigem Ermessen anzupassen, wenn und soweit sich nach Vertragsschluss die für die vereinbarte Leistung maßgeblichen Gesamtkosten verändern. Berücksichtigt werden ausschließlich Änderungen der Kosten für Personal in Entwicklung, Betrieb, Support und Informationssicherheit, für Hosting, Rechenzentrum, Energie und Telekommunikation, für Lizenzen und nutzungsabhängige KI-, Daten- oder sonstige Drittdienste sowie aufgrund neuer oder geänderter gesetzlicher, regulatorischer oder sicherheitsbezogener Anforderungen. Kostensteigerungen und Kostensenkungen sind gegeneinander zu verrechnen und nach denselben sachlichen und zeitlichen Maßstäben zu berücksichtigen. Eine Erhöhung darf die auf den Beschaffungsassistenten entfallende Nettoerhöhung der Gesamtkosten nicht überschreiten und weder eine Erhöhung der Gewinnmarge noch ineffizienzbedingte Mehrkosten oder Kosten nicht beauftragter Leistungserweiterungen abbilden.
Eine Preisanpassung ist erstmals zwölf Monate nach Vertragsbeginn und danach höchstens einmal innerhalb von zwölf Monaten zulässig. Sie wird frühestens zu Beginn der nächsten Abrechnungs- oder Verlängerungsperiode wirksam. Der Anbieter kündigt jede Preiserhöhung mindestens sechs Wochen vor ihrem Wirksamwerden in Textform an und teilt dabei den bisherigen und den neuen Preis, den Zeitpunkt des Wirksamwerdens, die maßgeblichen Kostenfaktoren und die Berechnung nachvollziehbar mit. Preisanpassungen erfolgen nicht rückwirkend und nicht innerhalb einer bereits bezahlten festen Vertragsperiode. Die Billigkeit der Preisbestimmung kann nach § 315 BGB überprüft werden.
Bei einer Preiserhöhung kann der Auftraggeber den betroffenen Vertrag zum Zeitpunkt des Wirksamwerdens der Erhöhung außerordentlich kündigen. Die Kündigung muss dem Anbieter vor diesem Zeitpunkt in Textform zugehen; bis zur Vertragsbeendigung gilt die bisherige Vergütung. Individuell vereinbarte Preisanpassungsregelungen sowie zwingende vergaberechtliche Anforderungen bleiben unberührt. Bei öffentlichen Aufträgen gilt die Anpassung nur, soweit diese Klausel bereits in die ursprünglichen Vergabeunterlagen und den Vertrag einbezogen wurde, die konkrete Anpassung vergaberechtlich zulässig ist und der Gesamtcharakter des Auftrags unverändert bleibt.
Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.
Pflichten des Auftraggebers und der Nutzer
Sachgerechte Nutzung
Der Auftraggeber und seine Nutzer dürfen den Beschaffungsassistenten nur im Rahmen der geltenden Gesetze und dieser Nutzungsbedingungen verwenden. Untersagt sind insbesondere:
- falsche oder irreführende Angaben im Registrierungs- oder Nutzungsprozess,
- die Weitergabe von Zugangsdaten,
- die Umgehung technischer Sicherheitsmaßnahmen,
- die Eingabe rechtswidriger, beleidigender, verleumderischer oder sonst unzulässiger Inhalte,
- das Hochladen unnötiger sensibler oder vertraulicher personenbezogener Daten,
- das Einschleusen schädlicher Software oder sonstige Eingriffe in Integrität oder Verfügbarkeit der Dienste.
Community
Soweit Community-Funktionen genutzt werden, sind Beiträge respektvoll, sachlich und themenbezogen zu halten. Beleidigende, diskriminierende, diffamierende oder sonst unzulässige Inhalte sind unzulässig. Der Anbieter ist berechtigt, rechtswidrige oder vertragswidrige Inhalte zu entfernen und bei schwerwiegenden oder wiederholten Verstößen Community-Zugänge oder – im Einzelfall – den Nutzungsvertrag außerordentlich zu sperren oder zu kündigen.
Meeting-Aufzeichnungen
Soweit Meeting-Funktionen eine Audioaufzeichnung, Transkription oder KI-Zusammenfassung ermöglichen, ist der aufzeichnende Nutzer verpflichtet, vor Beginn der Aufzeichnung alle Teilnehmenden transparent zu informieren und – soweit rechtlich erforderlich – deren wirksame Zustimmung einzuholen. Die Einhaltung dieser Anforderungen obliegt ausschließlich dem Auftraggeber und den handelnden Nutzern.
Datenhoheit, Datenschutz, Export und Rechte an Inhalten
Datenhoheit und Auftragsverarbeitung
Der Auftraggeber bleibt, soweit nicht ausdrücklich anders vereinbart, Verantwortlicher im Sinne des Datenschutzrechts für die von ihm oder seinen Nutzern in den Beschaffungsassistenten eingebrachten personenbezogenen Daten. Der Anbieter verarbeitet personenbezogene Daten als Auftragsverarbeiter nach Maßgabe der als Anlage integrierten AVV bzw. der gesondert bereitgestellten Standard-AVV.
Export und Löschung
Während der Vertragslaufzeit und – gemäß Anlage AVV – für einen begrenzten Nachlaufzeitraum nach Vertragsende können Projekt- und Kontodaten in gängigen Formaten exportiert werden, soweit die jeweilige Exportfunktion für den betreffenden Datentyp technisch vorgesehen ist. Unterstützte Formate können je nach Modul insbesondere PDF, DOCX, XLSX, GAEB, CSV, ZIP und vergleichbare strukturierte Exportformate umfassen.
Nutzer können einzelne Inhalte innerhalb der Plattform löschen, soweit die jeweilige Funktion dies vorsieht. Im Übrigen richten sich Datenrückgabe, Löschung, Retention von Backups und betriebsbezogenen Nachweisen nach der Anlage AVV.
Rechte an der Plattform und an KI-generierten Inhalten
Der Beschaffungsassistent und seine Softwarekomponenten bleiben urheber- und lizenzrechtlich Eigentum des Anbieters bzw. seiner Lizenzgeber. Der Auftraggeber erhält ein einfaches, nicht ausschließliches, nicht übertragbares Nutzungsrecht für die Dauer des Vertrags im vertraglich vorgesehenen Umfang.
An den konkret für den Auftraggeber generierten Inhalten beansprucht der Anbieter keine weitergehenden Nutzungsrechte, als dies zur Vertragserbringung erforderlich ist. Soweit rechtlich möglich, werden dem Auftraggeber die zur vertragsgemäßen Nutzung erforderlichen Rechte an den für ihn erzeugten Ausgaben eingeräumt. Die Rechte an der zugrundeliegenden Software, den KI-Algorithmen und dem Systemdesign bleiben unberührt.
Trainingsnutzung von Inhalten
Eine Nutzung finaler, vom Auftraggeber freigegebener Dokumente für Trainings- oder Verbesserungszwecke erfolgt nur nach ausdrücklichem Opt-In des Auftraggebers und nur in anonymisierter Form. Eine verweigerte oder widerrufene Einwilligung hat keinen Einfluss auf die normale Nutzbarkeit des Systems.
DSGVO-konforme Nutzung und Grenzen
Hierzu gehören insbesondere eine AVV mit dem Auftraggeber, abgeschlossene bzw. akzeptierte Datenschutzvereinbarungen mit den eingesetzten Unterauftragsverarbeitern Supabase, Google Cloud und Scaleway, eine auf EU-Regionen ausgerichtete Produktivverarbeitung, dokumentierte technische und organisatorische Maßnahmen, Export- und Löschprozesse sowie eine Trainingsnutzung finaler Inhalte nur nach ausdrücklichem Opt-In und in anonymisierter Form.
Die DSGVO-Konformität einer konkreten Nutzung ist gleichwohl nicht automatisch für jeden Einzelfall garantiert. Der Auftraggeber bleibt Verantwortlicher für die Rechtmäßigkeit der von ihm veranlassten Verarbeitung, insbesondere für Rechtsgrundlagen, interne Berechtigungskonzepte, Datenminimierung, Informationspflichten, die Behandlung besonderer Kategorien personenbezogener Daten und die Information bzw. Einwilligung von Teilnehmenden bei Meeting-Aufzeichnungen.
Support, Verfügbarkeit und Änderungsmanagement
Der Anbieter bemüht sich um eine hohe Verfügbarkeit der Plattform. Geplante Wartungen und Sicherheitsmaßnahmen können temporäre Einschränkungen verursachen. Die konkreten Support- und Verfügbarkeitsparameter ergeben sich aus der integrierten SLA-Anlage.
Supportanfragen sind über die Support-Seite, das im Account bereitgestellte Ticketsystem oder per E-Mail an support@beschaffungsassistent.de einzureichen. Der Anbieter ist berechtigt, zur Sicherstellung von Betrieb, Sicherheit, Rechtskonformität und Produktweiterentwicklung Funktionen anzupassen, zu erweitern oder auszutauschen, sofern der vertragsgemäße Kernzweck der gebuchten Leistung nicht unzumutbar beeinträchtigt wird.
Gewährleistung und Haftung
Der Anbieter betreibt den Beschaffungsassistenten als SaaS-Dienst mit der erforderlichen Sorgfalt und unter Beachtung branchenüblicher technischer und organisatorischer Standards. KI-generierte Inhalte können gleichwohl Fehler, Unvollständigkeiten oder veraltete Informationen enthalten. Alle KI-Ausgaben sind unverbindliche fachliche Unterstützung und durch den Auftraggeber eigenverantwortlich zu prüfen.
Der Anbieter haftet unbeschränkt bei Vorsatz, grober Fahrlässigkeit, Verletzung von Leben, Körper oder Gesundheit, nach dem Produkthaftungsgesetz sowie bei ausdrücklich übernommener Garantie.
Bei leicht fahrlässiger Verletzung wesentlicher Vertragspflichten ist die Haftung auf den vertragstypisch vorhersehbaren Schaden begrenzt. Eine weitergehende Haftung für leichte Fahrlässigkeit ist ausgeschlossen. Dies gilt nicht für zwingende gesetzliche Haftungstatbestände.
Eine Haftung für Schäden, die auf unrichtigen, unvollständigen oder rechtswidrigen Eingaben des Auftraggebers oder auf der ungeprüften Weiterverwendung von KI-generierten Inhalten beruhen, ist im gesetzlich zulässigen Umfang ausgeschlossen.
Besondere Regelung für öffentliche Auftraggeber und EVB-IT Cloud
Für Verträge mit öffentlichen Auftraggebern können ergänzend EVB-IT-Cloud-Unterlagen vereinbart werden. Die EVB-IT Cloud gelten jedoch nur dann und nur insoweit, als ihre Geltung im Online-Bestellprozess, in einem Angebot, in einer Auftragsbestätigung oder sonst in Textform ausdrücklich einbezogen wird.
Im Kollisionsfall gehen die ausdrücklich einbezogenen EVB-IT-Cloud-Unterlagen in ihrem Anwendungsbereich den widersprechenden Regelungen dieser AGB vor. Soweit die EVB-IT Cloud keine abweichende Regelung enthalten, gelten diese AGB ergänzend fort.
Schlussbestimmungen
Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist – soweit gesetzlich zulässig – der Sitz des Anbieters.
Änderungen und Ergänzungen dieser AGB bedürfen der Textform. Dies gilt nicht für Änderungen, die zugunsten des Auftraggebers erfolgen oder zwingend gesetzlich vorgeschrieben sind.
Sollten einzelne Bestimmungen ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Anlage SLA und Servicebeschreibung
Diese Anlage konkretisiert Verfügbarkeit, Support, Störungsklassen, Reaktionszeiten, Wartungsfenster, Eskalation und Abhilferechte.
Service-Modelle
| Kriterium | Standard |
|---|---|
| Anwendbarkeit | Gilt für die reguläre Online-Bestellung, sofern nichts Abweichendes vereinbart ist |
| Zielverfügbarkeit produktiver Kernfunktionen je Kalendermonat | 99,5 % |
| Supportzeit | Montag bis Freitag, 09:00 bis 17:00 Uhr, ausgenommen gesetzliche Feiertage am Sitz des Anbieters |
| Geplantes Wartungsfenster | Sonntag 00:00 bis 06:00 Uhr |
| Ankündigung geplanter Wartung | in der Regel mindestens 48 Stunden vorher |
Störungsklassen, Reaktions- und Wiederherstellungszeiten
| Priorität | Beschreibung | Standard |
|---|---|---|
| P1 | Vollständiger oder nahezu vollständiger Ausfall wesentlicher produktiver Kernfunktionen ohne zumutbaren Workaround | erste qualifizierte Reaktion innerhalb von 8 Supportstunden; Wiederherstellung oder belastbarer Workaround innerhalb von 2 Arbeitstagen |
| P2 | Erhebliche Funktionsbeeinträchtigung mit spürbarer Auswirkung auf laufende Beschaffungs- oder Vergabeprozesse | erste qualifizierte Reaktion innerhalb von 1 Arbeitstag; Wiederherstellung oder Workaround innerhalb von 3 Arbeitstagen |
| P3 | Einzelne Funktionen sind beeinträchtigt, der Kernbetrieb bleibt aber möglich | erste qualifizierte Reaktion innerhalb von 2 Arbeitstagen; Bearbeitung im nächsten regulären Release oder per Hotfix nach Ermessen |
| P4 | Allgemeine Anfrage, geringfügiger Fehler, kosmetische Abweichung, Feature Request | angemessene Bearbeitung im regulären Supportprozess |
Messlogik
Verfügbarkeit wird auf Monatsebene gemessen. Nicht als Ausfallzeit zählen insbesondere:
- angekündigte Wartungsfenster,
- zwingende Notfall-Sicherheitsmaßnahmen,
- Störungen im Verantwortungsbereich des Auftraggebers,
- Ausfälle allgemeiner Internet- oder Telekommunikationsverbindungen außerhalb des Einflussbereichs des Anbieters,
- höhere Gewalt.
Eskalation
| Stufe | Auslöser | Maßnahme |
|---|---|---|
| A | Reguläre Supportmeldung | Klassifikation, Erstbewertung, Ticketanlage, Rückmeldung |
| B | Gefährdung der Zielzeiten oder wiederholte Beeinträchtigung | technische Eskalation und Priorisierung durch verantwortliche Leitung |
| C | erheblicher Betriebs-, Sicherheits- oder Datenschutzvorfall | Management-Eskalation, Kommunikationsplan, Störungs- bzw. Incident-Bericht |
Abhilferechte
Werden erhebliche Störungen oder SLA-relevante Beeinträchtigungen gemeldet, wird der Anbieter nach Maßgabe dieser Anlage qualifiziert reagieren, die Störung analysieren und nach Möglichkeit beseitigen oder einen zumutbaren Workaround bereitstellen.
Bei wiederholter erheblicher und nicht abgeholfener Unterschreitung wesentlicher Serviceparameter kann der Auftraggeber nach erfolgloser angemessener Fristsetzung außerordentlich kündigen.
Anlage AVV nach Art. 28 DSGVO
Die Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO und die nachfolgend aufgeführten technischen und organisatorischen Maßnahmen werden als versionierte Vertragsunterlagen in den Registrierungsprozess einbezogen. Die bei Vertragsschluss geltenden Fassungen werden zusammen mit der Auftragsbestätigung in einem speicherbaren elektronischen Format bereitgestellt.
Anlage TOM – Technische und organisatorische Maßnahmen
Der Anbieter trifft angemessene technische und organisatorische Maßnahmen nach dem Stand der Technik, um Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit und Wiederherstellbarkeit der verarbeiteten Daten und Systeme zu gewährleisten.
| Schutzbereich | Maßnahmen |
|---|---|
| Zugangskontrolle | Rollen- und Rechtemodelle, prinzipielle Trennung von Nutzer- und Administrationsrechten, Schutz vor unberechtigtem Zugriff, verwaltete Authentifizierungsprozesse, Schutz des Organisationsaccounts vor unbefugter Nutzung |
| Zugriffskontrolle | Least-Privilege-Prinzip, rollenbasierte Berechtigungen, projektbezogene Zugriffsbeschränkungen, organisatorische Begrenzung von Administrationsrechten, Datenzugriff nur soweit erforderlich |
| Authentifizierung | Sichere Passwortverfahren; zusätzliche Sicherheitsmechanismen wie Mehrfaktorverfahren für privilegierte oder administrative Zugänge, soweit technisch aktiviert beziehungsweise verfügbar |
| Mandantentrennung | Logische Trennung organisationsbezogener Datenbestände, rollen- und organisationsbezogene Zugriffskonzepte, Segmentierung produktrelevanter Datenräume |
| Übertragungssicherheit | Verschlüsselte Datenübertragung über aktuelle TLS-basierte Transportverschlüsselung oder gleichwertige Verfahren |
| Speichersicherheit | Verschlüsselung bzw. verschlüsselungsnahe Schutzmechanismen für gespeicherte Daten im Rahmen der eingesetzten Plattform- und Infrastrukturleistungen |
| Protokollierung | Protokollierung sicherheits- und betriebsrelevanter Vorgänge, Nachvollziehbarkeit kritischer Systemereignisse, eingeschränkter Zugriff auf Logs nach Need-to-know |
| Verfügbarkeitskontrolle | Backup-Mechanismen, Wiederherstellungsprozesse, technische und organisatorische Maßnahmen zur Aufrechterhaltung des Betriebs, Störungs- und Incident-Management |
| Wiederherstellung | Dokumentierte Restore-Prozesse und regelmäßige Überprüfung der Wiederherstellbarkeit in angemessenem Umfang |
| Änderungsmanagement | Kontrollierte Änderungen an Produktivsystemen, Rollback- und Release-Prozesse, Nachvollziehbarkeit wesentlicher Konfigurationsänderungen |
| Schwachstellen- und Patch-Management | Regelmäßige Aktualisierung relevanter Komponenten, priorisierte Bearbeitung bekannter Schwachstellen, sicherheitsbezogenes Monitoring des Betriebs |
| Entwicklungs- und Testtrennung | Angemessene Trennung von Entwicklungs-, Test- und Produktivumgebung, soweit für die jeweilige Komponente einschlägig |
| Datenschutz durch Technikgestaltung | Datenminimierung, zweckgebundene Verarbeitung, restriktive Voreinstellungen, Trainingsnutzung nur nach ausdrücklichem Opt-In und Anonymisierung |
| EU-Regionen und Auftragsverarbeitung | Ausrichtung der produktiven Kernverarbeitung auf EU-Regionen; vertragliche Einbindung der Unterauftragsverarbeiter Supabase, Google Cloud und Scaleway einschließlich DPA/AVV- und Transfermechanismen |
| Incident Response | Dokumentierte Prozesse zur Behandlung von Betriebs-, Sicherheits- und Datenschutzvorfällen, interne Eskalationsstufen, angemessene Kundeninformation |
| Dienstleistersteuerung | Auswahl, vertragliche Einbindung und laufende Steuerung von Unterauftragsverarbeitern; abgeschlossene bzw. akzeptierte DPAs mit Supabase, Google Cloud und Scaleway; Aktualisierung der Unterauftragsverarbeiterliste bei wesentlichen Änderungen |
| Löschung und Retention | Produktive Löschung nach Vertragsende bzw. nach Nutzeranstoß, Nachlauf für Datenrückgabe, geregelte Backup-Retention und Aufbewahrung betrieblicher Nachweise nur im erforderlichen Umfang |