Auftragsverarbeitungs­vertrag

§ 1 Vertragsparteien und Rang

1.1Auftragsverarbeiter: Optimaite UG (haftungsbeschränkt), Obermeiersfeld 9, 33104 Paderborn, eingetragen im Handelsregister des Amtsgerichts Paderborn unter HRB 17814, vertreten durch den Geschäftsführer Jamil Mounzer („Optimaite“).

1.2Verantwortlicher: der auf der Titelseite bezeichnete Kunde („Verantwortlicher“). Die Parteien werden gemeinsam als „Parteien“ bezeichnet.

1.3Hauptvertrag: der Vertrag über die Nutzung der Optimaite-Plattform (Rahmenvertrag oder Vertrag auf Grundlage der Allgemeinen Geschäftsbedingungen). Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil des Hauptvertrags und konkretisiert die Pflichten aus Art. 28 DSGVO.

1.4Bei Widersprüchen gehen die datenschutz- und geheimnisschutzrechtlichen Regelungen dieses AVV für ihren Gegenstand den übrigen Regelungen des Hauptvertrags vor. Individuelle Vereinbarungen bleiben unberührt, soweit sie das Schutzniveau nicht absenken.

§ 2 Gegenstand und Dauer

2.1Optimaite verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um die vereinbarten Plattform-, KI- und Supportleistungen zu erbringen. Gegenstand, Art, Zweck, Datenarten und betroffene Personen sind in Anlage 1 beschrieben.

2.2Die Verarbeitung beginnt mit der ersten Bereitstellung oder Übermittlung von Daten und dauert bis zur vollständigen Rückgabe oder Löschung nach § 14. Nachweis-, Verschwiegenheits- und Unterstützungspflichten wirken ihrem Inhalt nach fort.

§ 3 Weisungen und Verantwortlichkeiten

3.1Optimaite verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Das gilt auch für jede Übermittlung in ein Drittland oder an eine internationale Organisation. Der Hauptvertrag, die Nutzung der vom Verantwortlichen konfigurierten Funktionen und Weisungen in Textform bilden zusammen die dokumentierten Weisungen.

3.2Ist Optimaite durch das Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, informiert Optimaite den Verantwortlichen vor der Verarbeitung über diese rechtliche Anforderung, sofern das betreffende Recht eine solche Information nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3.3Hält Optimaite eine Weisung für rechtswidrig, informiert Optimaite den Verantwortlichen unverzüglich und darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

3.4Der Verantwortliche bleibt für die Zulässigkeit der Verarbeitung, die Rechtsgrundlage, die Information der betroffenen Personen, die Datenminimierung und die Wahrung der Betroffenenrechte verantwortlich. Weisungsberechtigt sind die in Anlage 1 benannten Personen und Rollen.

§ 4 Vertraulichkeit und Personal

4.1Optimaite stellt sicher, dass jede zur Verarbeitung befugte Person vor dem ersten Zugriff in Textform zur Vertraulichkeit verpflichtet wurde oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegt. Die Verpflichtung gilt nach dem Ende der Tätigkeit fort.

4.2Zugriffe sind auf freigegebene Rollen, den erforderlichen Umfang und den erforderlichen Zeitraum beschränkt. Produktions- und Supportzugriffe werden namentlich zugeordnet und protokolliert.

§ 5 Sicherheit der Verarbeitung

5.1Optimaite setzt die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO um. Sie berücksichtigen den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände, Zwecke und Risiken der Verarbeitung.

5.2Optimaite darf die Maßnahmen weiterentwickeln, wenn das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche nachteilige Änderungen teilt Optimaite dem Verantwortlichen vorab mit.

§ 6 Datenresidenz, KI-Dienste und Anbieterauswahl

6.1Optimaite verpflichtet sich gegenüber dem Verantwortlichen zu den folgenden Garantien:

• Primäre Kundendaten (Datenbanken, Dokumente, Dateien, Suchindizes und Sicherungen) speichert Optimaite in Deutschland auf von Optimaite kontrollierter Infrastruktur der Hetzner Online GmbH.
• Optimaite verarbeitet Kundendaten ausschließlich in Regionen innerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums. Eine Ausnahme setzt eine ausdrückliche, dokumentierte Freigabe des Verantwortlichen voraus.
• Optimaite verwendet Kundeninhalte nicht zum Training von KI-Modellen und setzt nur KI-Anbieter ein, die vertraglich vom Training mit Kundeninhalten ausgeschlossen sind.
• Anbieterseitige Speicherung, Missbrauchsprüfung und Protokollierung sind deaktiviert oder auf das technisch und rechtlich erforderliche Minimum beschränkt.
• Dokumentinhalte und Mandatsgeheimnisse gelangen nicht in Diagnose-Telemetrie. Sentry wird selbstgehostet auf der von Optimaite kontrollierten Hetzner-Infrastruktur in Deutschland und mit wirksamer Datenbereinigung betrieben.
• Ein Zugriff aus einem Drittland setzt gültige Transfergarantien nach Art. 44 ff. DSGVO und eine eigenständige Prüfung des vergleichbaren Geheimnisschutzes nach § 43e Abs. 4 BRAO voraus.
• Jeder Unterauftragnehmer mit möglichem Zugang zu Mandatsgeheimnissen ist in die Verpflichtungskette nach § 43e Abs. 3 Nr. 3 BRAO und § 203 Abs. 4 StGB eingebunden.
• Optimaite setzt einen Anbieter erst dann für Kundendaten ein, wenn der anwendbare Auftragsverarbeitungsvertrag und die vertraglichen Nachweise vorliegen.

6.2Optimaite prüft vor der Freigabe eines Anbieters die Vertragsbedingungen, die konfigurierte Verarbeitungsregion, Speicher- und Protokollierungseinstellungen sowie den Geheimnisschutz und dokumentiert das Ergebnis. Erfüllt ein Anbieter eine Garantie nach § 6.1 nicht, setzt Optimaite ihn für Kundendaten nicht ein, konfiguriert ihn abweichend oder ersetzt ihn.

6.3Der Verantwortliche steuert den Einsatz der KI-Funktionen über die Konfiguration seiner Organisation und über die Auswahl einer Funktion durch seine Nutzer. Optimaite übermittelt an einen KI-Dienst nur den Kontext, der für die gewählte Funktion erforderlich ist.

6.4Für Berufsgeheimnisträger gilt zusätzlich § 12. Als vertraulich eingestufte Akteninhalte werden externen KI-Diensten strukturell vorenthalten.

§ 7 Unterstützung des Verantwortlichen

7.1Optimaite unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) zu beantworten. Wendet sich eine betroffene Person direkt an Optimaite, leitet Optimaite die Anfrage unverzüglich ohne eigene Sachentscheidung an den Verantwortlichen weiter.

7.2Optimaite unterstützt den Verantwortlichen unter Berücksichtigung der verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung und Benachrichtigung von Verletzungen, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde.

7.3Optimaite führt ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und benennt einen Datenschutzkontakt (info@optimaite.eu).

§ 8 Verletzungen des Schutzes personenbezogener Daten

8.1Optimaite meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich nach Kenntniserlangung. Die Erstmeldung erfolgt spätestens 24 Stunden nach Kenntniserlangung an den benannten Sicherheits- oder Datenschutzkontakt.

8.2Die Meldung enthält, soweit bereits verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, eine Kontaktstelle, die wahrscheinlichen Folgen sowie die ergriffenen und vorgeschlagenen Maßnahmen. Noch fehlende Angaben liefert Optimaite ohne unangemessene Verzögerung nach.

8.3Optimaite sichert Beweise, unterstützt Untersuchung und Ursachenanalyse und wirkt an Meldungen nach Art. 33 und 34 DSGVO mit. Optimaite informiert Aufsichtsbehörden oder betroffene Personen nicht ohne Abstimmung mit dem Verantwortlichen, soweit keine gesetzliche Pflicht entgegensteht.

§ 9 Unterauftragnehmer

9.1Der Verantwortliche erteilt hiermit die allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO für den Einsatz der in Anlage 3 einzeln benannten Unterauftragnehmer für die dort beschriebenen Zwecke.

9.2Optimaite informiert den vom Verantwortlichen benannten Rechts- oder Administrationskontakt aktiv in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragnehmers, und zwar mindestens 30 Tage vor dem Einsatz. Eine Veröffentlichung auf der Website ersetzt diese Mitteilung nicht.

9.3Der Verantwortliche kann der Änderung innerhalb der Mitteilungsfrist aus dokumentierten datenschutz- oder geheimnisschutzrechtlichen Gründen widersprechen. Die Parteien prüfen dann Abhilfe oder eine gleichwertige Alternative. Ist keine Lösung möglich, kann der Verantwortliche die betroffene Leistung außerordentlich beenden, bevor der neue Unterauftragnehmer eingesetzt wird.

9.4Optimaite legt jedem Unterauftragnehmer durch Vertrag im Sinne von Art. 28 Abs. 4 DSGVO dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für technische und organisatorische Maßnahmen. Optimaite bleibt gegenüber dem Verantwortlichen für die Erfüllung der Pflichten durch den Unterauftragnehmer vollständig verantwortlich.

9.5Optimaite stellt dem Verantwortlichen auf Anfrage die wesentlichen Vertragsbedingungen der Unterauftragnehmer und die dokumentierten Nachweise nach § 6.2 zur Verfügung. Fremde Geschäftsgeheimnisse dürfen verhältnismäßig geschwärzt werden.

§ 10 Nachweise und Prüfungen

10.1Optimaite stellt dem Verantwortlichen alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten, zur Vertraulichkeit verpflichteten Prüfer.

10.2Geeignete Zertifikate, Prüfberichte, die Nachweismatrix nach § 6.2 und die Dokumentation nach Anlage 2 bilden die erste Nachweisebene. Weitergehende Prüfungen vor Ort sind nach angemessener Ankündigung während der üblichen Geschäftszeiten möglich, insbesondere bei Vorfällen, wesentlichen Änderungen, begründeten Zweifeln oder behördlichen Anforderungen. Organisation und Kosten dürfen das gesetzliche Prüfungsrecht nicht praktisch vereiteln.

§ 11 Drittlandübermittlungen und Behördenanfragen

11.1Eine Übermittlung in ein Drittland oder ein Zugriff aus einem Drittland erfolgt nur auf dokumentierte Weisung des Verantwortlichen und unter Einhaltung der Art. 44 ff. DSGVO. Besteht kein Angemessenheitsbeschluss, verwendet Optimaite geeignete Garantien, insbesondere das zutreffende Modul der EU-Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914, und dokumentiert eine Transfer-Folgenabschätzung sowie ergänzende Maßnahmen.

11.2Kann ein dem Unionsrecht gleichwertiges Schutzniveau nicht aufrechterhalten werden, setzt Optimaite die betroffene Übermittlung aus und beendet oder migriert die Verarbeitung.

11.3Optimaite prüft Anfragen von Behörden auf Zuständigkeit, Rechtsgrundlage und Verhältnismäßigkeit, ficht sie soweit zulässig an, beschränkt Offenlegungen auf das rechtlich notwendige Maß und informiert den Verantwortlichen vor einer Offenlegung, sofern kein gesetzliches Verbot entgegensteht.

11.4Für Berufsgeheimnisse gilt zusätzlich § 12. Ein datenschutzrechtliches Übermittlungsinstrument ersetzt nicht die eigenständige Prüfung des vergleichbaren Geheimnisschutzes nach § 43e Abs. 4 BRAO.

§ 12 Berufsgeheimnisse (§ 43e BRAO, § 203 StGB)

12.1Ist der Verantwortliche Berufsgeheimnisträger, wird Optimaite als Dienstleister im Sinne von § 43e BRAO und als mitwirkende Person im Sinne von § 203 Abs. 3 Satz 2 StGB tätig. Der Schutz umfasst alle fremden Geheimnisse, die Optimaite bei der Leistungserbringung anvertraut werden oder bekannt werden, unabhängig davon, ob sie personenbezogene Daten enthalten.

12.2Optimaite wahrt diese Geheimnisse zeitlich unbefristet und bestätigt die Belehrung, dass eine unbefugte Offenbarung nach § 203 Abs. 4 StGB strafbar sein kann (§ 43e Abs. 3 Nr. 1 BRAO).

12.3Optimaite verschafft sich Zugang zu fremden Geheimnissen und offenbart diese nur, soweit dies für die vereinbarte Leistung erforderlich ist (§ 43e Abs. 1 und Abs. 3 Nr. 2 BRAO; § 203 Abs. 3 Satz 2 StGB).

12.4Der Verantwortliche gestattet Optimaite, die in Anlage 3 benannten Unterauftragnehmer als weitere mitwirkende Personen heranzuziehen. Optimaite verpflichtet jede weitere mitwirkende Person vor einem möglichen Geheimniszugang in Textform zur Verschwiegenheit, belehrt sie über die strafrechtlichen Folgen und stellt sicher, dass diese Verpflichtung entlang der gesamten Kette weitergegeben wird (§ 43e Abs. 3 Nr. 3 BRAO; § 203 Abs. 4 Satz 2 Nr. 2 StGB).

12.5Wird eine Leistung mit möglichem Geheimniszugang im Ausland erbracht, setzt Optimaite sie nur ein, wenn Optimaite zuvor dokumentiert hat, dass der Geheimnisschutz im betreffenden Staat dem Schutz im Inland vergleichbar ist (§ 43e Abs. 4 BRAO). Diese Prüfung ist eigenständig; SCC oder ein Angemessenheitsbeschluss ersetzen sie nicht.

12.6Dient eine Leistung unmittelbar einem einzelnen Mandat, stellt der Verantwortliche vor dem erforderlichen Geheimniszugang die Einwilligung des Mandanten nach § 43e Abs. 5 BRAO sicher. Diese Einwilligung betrifft nur den Einzelfall; die allgemeine Weiterverpflichtung nach § 12.4 bleibt davon unberührt.

12.7Die datenschutzrechtlichen Pflichten dieses AVV gelten unabhängig und zusätzlich (§ 43e Abs. 8 BRAO). Die Verpflichtungserklärung zum Berufsgeheimnisschutz ergänzt diesen AVV; bei Widersprüchen gilt die strengere Schutzregel.

§ 13 Besondere Kategorien und strafrechtliche Daten (Art. 9 und 10 DSGVO)

13.1Der Verantwortliche kann im Rahmen seiner Tätigkeit Daten nach Art. 9 DSGVO (z. B. Gesundheitsdaten, religiöse oder politische Angaben) und Daten nach Art. 10 DSGVO (strafrechtliche Verurteilungen, Straftaten und Verfahren) in die Plattform einbringen. Die Rechtsgrundlage dafür schafft ausschließlich der Verantwortliche.

13.2Optimaite verarbeitet solche Daten nur auf Weisung, mit den Maßnahmen nach Anlage 2 und getrennt nach den Kategorien nach Art. 9 und Art. 10 DSGVO. Optimaite setzt für Kundeninhalte nur KI-Dienste ein, deren Vertragsbedingungen die Verarbeitung dieser Kategorien nicht ausschließen; ein Anbieter, der dies ausschließt, erhält solche Inhalte nicht.

§ 14 Rückgabe und Löschung

14.1Nach dem Ende der Leistungserbringung gibt Optimaite nach Wahl des Verantwortlichen alle personenbezogenen Daten in einem vereinbarten, gängigen Format zurück oder löscht sie. Der Verantwortliche kann seine Wahl bis zum Abschluss der Rückgabe oder Löschung ändern. Für den Export steht ein Zeitraum von 30 Tagen ab Vertragsende zur Verfügung.

14.2Nach einer Rückgabe löscht Optimaite alle verbleibenden Kopien in Produktivsystemen, Replikaten, Suchindizes, Supportkopien, Exporten und personenbezogenen Protokollen. Sicherungen, die nicht einzeln überschrieben werden können, werden gesperrt und laufen spätestens 30 Tage nach der Löschung aus der dokumentierten Rotation aus.

14.3Ausgenommen ist nur eine Speicherung, die das Recht der Union oder eines Mitgliedstaats verlangt. Solche Daten werden gesperrt, zweckgebunden geschützt und nach Ablauf der Pflicht gelöscht. Optimaite bestätigt die Löschung auf Verlangen in Textform.

§ 15 Haftung und Schlussbestimmungen

15.1Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und den Regelungen des Hauptvertrags. Bestimmt Optimaite unter Verstoß gegen diesen AVV Zwecke und Mittel der Verarbeitung selbst, gilt Optimaite insoweit als Verantwortlicher (Art. 28 Abs. 10 DSGVO).

15.2Änderungen und Ergänzungen dieses AVV bedürfen mindestens der Textform (Art. 28 Abs. 9 DSGVO). Optimaite darf Anlage 2 nach Maßgabe von § 5.2 und Anlage 3 nach Maßgabe von § 9 aktualisieren.

15.3Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, Paderborn. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; zwingende gesetzliche Rechte und Pflichten bleiben vorbehalten.

Anlage 1 Beschreibung der Verarbeitung

Anlage 2 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Maßnahmen beschreiben den Produktionsbetrieb der Optimaite-Plattform. Optimaite hält sie mindestens auf diesem Niveau und entwickelt sie nach § 5.2 weiter.

Governance und Personal

• Alle Beschäftigten und Auftragnehmer sind vor dem ersten Zugang in Textform zur Vertraulichkeit verpflichtet und über § 203 StGB belehrt (interne Vertraulichkeits- und Berufsgeheimnisverpflichtungen).
• Rollenbezogene Schulungen, dokumentiertes On- und Offboarding, regelmäßige Berechtigungsprüfung und eine benannte Sicherheits- und Datenschutzkontaktstelle.
• Lieferantenprüfung mit dokumentiertem Freigabegate: ein Anbieter erhält Kundendaten erst, wenn AVV, Transfergarantien, Geheimnisschutzprüfung und die konfigurierte Verarbeitungsregion nachgewiesen sind.

Identität und Zugriff

• Zentrale Identitäts- und Organisationsverwaltung mit rollenbasierten Berechtigungen nach dem Least-Privilege-Prinzip; Mehrfaktor-Authentifizierung für privilegierte Zugänge.
• Produkttoken bleiben serverseitig (Backend-for-Frontend); Browser erhalten nur HttpOnly-Sitzungscookies.
• Mandantentrennung durch organisationsgebundene Autorisierung und erzwungene Zeilenzugriffsregeln (Row Level Security) in der Datenbank; jeder Datenzugriff wird protokolliert.
• Support- und Produktionszugriffe sind zeitlich und sachlich beschränkt, namentlich zugeordnet und nachvollziehbar.

Netzwerk und Übertragung

• Alle externen Verbindungen sind TLS-verschlüsselt. Interne Dienste sind durch Netzwerksegmentierung, Network Policies und authentisierte Servicegrenzen voneinander getrennt.
• Administrative Zugänge erfolgen ausschließlich über private, verschlüsselte Zugangswege (WireGuard); die Kubernetes-Steuerungsebene ist nicht öffentlich erreichbar.
• Öffentlich erreichbare Dienste und Ports sind auf das Notwendige beschränkt; Diagnose-, Metrik- und Schemaendpunkte sind nur aus dem privaten Netz erreichbar.

Speicherung, Datenresidenz und Schlüssel

• Primäre Datenbanken, Objektspeicher, Suchindizes und Sicherungen befinden sich auf von Optimaite kontrollierter Hetzner-Infrastruktur in Deutschland.
• Externe KI-Dienste werden nur in Regionen innerhalb der EU/des EWR aufgerufen. Der Modellkatalog sperrt Modelle ohne EU-Residenz technisch (Residenzrichtlinie „eu“).
• Zugangsdaten und Schlüssel werden in einem selbstgehosteten Secrets-Management-System verwaltet und niemals in Quellcode oder Browser-Bundles abgelegt; Datenträger sind verschlüsselt.

KI-Verarbeitung und Datenminimierung

• Jede KI-Funktion übermittelt nur den für sie erforderlichen Kontext; Nutzer- und Organisationsmetadaten werden nicht an KI-Anbieter übermittelt.
• Optimaite verwendet Kundeninhalte nicht zum Modelltraining und setzt nur Anbieter ein, die vertraglich vom Training ausgeschlossen sind; anbieterseitige Speicherung und Missbrauchsprüfung sind deaktiviert oder minimiert.
• Für Berufsgeheimnisträger gilt eine Vertraulichkeitsstufe je Akte: als vertraulich eingestufte Inhalte werden externen KI-Diensten strukturell vorenthalten.

Protokollierung und Monitoring

• Sicherheits-, Audit- und Betriebsereignisse werden zweckgebunden protokolliert; personenbezogene Felder werden minimiert und sensible Inhalte ausgefiltert.
• Fehlertelemetrie (Sentry) wird selbstgehostet auf der von Optimaite kontrollierten Hetzner-Infrastruktur in Deutschland betrieben; Anfrageinhalte, Cookies, Header und Klarnamen werden vor der Verarbeitung entfernt (send_default_pii deaktiviert).
• Technische Metriken, Logs, Traces und KI-Ablaufprotokolle werden auf der von Optimaite kontrollierten Hetzner-Infrastruktur in Deutschland verarbeitet; KI-Ablaufprotokolle werden nach 30 Tagen gelöscht.

Verfügbarkeit und Wiederherstellung

• Hochverfügbare PostgreSQL-Cluster (CloudNativePG) mit Replikation, kontinuierlicher WAL-Archivierung sowie täglichen und wöchentlichen Basissicherungen.
• Sicherungen liegen verschlüsselt im Hetzner Object Storage in Deutschland, rotieren nach 30 Tagen und werden durch automatisierte monatliche Wiederherstellungstests geprüft.
• Kubernetes stellt ausgefallene Workloads automatisiert wieder her; Kapazitäts-, Wiederanlauf- und Alarmierungsverfahren sind dokumentiert.

Sichere Entwicklung und Betrieb

• Code-Review, automatisierte Tests, Abhängigkeits- und Container-Scans, signierte Container-Images und gestufte, nachvollziehbare Bereitstellung.
• Schwachstellen und Sicherheitsupdates werden risikobasiert priorisiert; produktive Änderungen sind auf den Quellstand rückführbar.

Löschung und Vertragsende

• Aufbewahrungs- und Löschregeln werden je Datenart umgesetzt; nicht erforderliche Diagnose- und temporäre Daten werden automatisiert bereinigt.
• Bei Vertragsende gilt § 14: Rückgabe oder Löschung nach Wahl des Verantwortlichen, Auslauf der Sicherungen aus der 30-tägigen Rotation, Bestätigung auf Verlangen.

Regelmäßige Bewertung

• Schutzmaßnahmen, Berechtigungen, Wiederherstellung und Anbieter werden regelmäßig sowie nach wesentlichen Änderungen oder Vorfällen geprüft.
• Optimaite dokumentiert Abweichungen, Risiken und Abhilfemaßnahmen in einer internen Nachweismatrix und stellt geeignete Nachweise nach § 10 bereit.

Anlage 3 Genehmigte Unterauftragnehmer

Stand 3. September 2026. Die Liste bildet die geprüfte Produktionsarchitektur der Kundenplattform ab. Ein Dienst wird nur eingesetzt, wenn die Garantien nach § 6 und die Nachweise nach § 6.2 vorliegen.

Selbstgehostete Komponenten

Sentry sowie weitere interne Plattformkomponenten werden durch Optimaite auf der von Optimaite kontrollierten Hetzner-Infrastruktur in Deutschland betrieben. Sie sind keine eigenständigen Empfänger und keine zusätzlichen externen Unterauftragnehmer.

Nicht als Unterauftragnehmer der Kundenplattform eingeordnet

• Stripe Payments Europe, Limited verarbeitet Abrechnungs- und Zahlungsdaten von Optimaite-Kunden. Die Rolle ist je Stripe-Leistung als Auftragsverarbeiter oder eigenständig Verantwortlicher einzuordnen; Mandatsinhalte werden nicht an Stripe übermittelt.
• Vercel und Cloudflare Turnstile betreffen ausschließlich die Marketing-Website und öffentliche Formulare. Sie sind in der Website-Datenschutzerklärung beschrieben und nicht Teil der Kundenplattform.
• Google Workspace, Microsoft 365, beA, die WhatsApp Business Platform von Meta und weitere vom Kunden aktivierte Konnektoren sind kundenseitig veranlasste Drittservices oder Empfänger. Ihre Rolle hängt von Vertragsmodell und Aktivierung durch den Kunden ab.
• Öffentliche Suchmaschinen hinter der selbstgehosteten Websuche (SearXNG) erhalten ausschließlich den Suchtext einer vom Nutzer veranlassten Websuche. Die angebundenen Suchmaschinen sind fest konfiguriert (Google, Bing, DuckDuckGo, Brave, Wikipedia).

Die aktuelle Fassung dieser Anlage ist unter optimaite.eu/trust/unterauftragnehmer abrufbar. Änderungen werden nach § 9 mitgeteilt.

Mit ihrer Unterzeichnung schließen die Parteien diesen Auftragsverarbeitungsvertrag einschließlich der Anlagen 1 bis 3 als Bestandteil des Hauptvertrags.